Zapobieganie SQL Injection/Good Ruby method

Question

Co to jest dobra metoda w Ruby, aby zapobiec SQL Injection?

Answer 1

w prosto rubin? użyć przygotowanych sprawozdań:

require 'mysql' 
db = Mysql.new('localhost', 'user', 'password', 'database') 
statement = db.prepare "SELECT * FROM table WHERE field = ?" 
statement.execute 'value' 
statement.fetch 
statement.close 

Answer 2

Nie tylko w Ruby - wiąż swoje parametry (czy to w bazie danych, czy w kodzie klienta).

Answer 3

Zapoznaj się z przewodnikiem muszą się na to: http://guides.rubyonrails.org/security.html#injection

Zasadniczo chcesz używać zmiennych powiązań w modelach znaleźć dane, zamiast parametrów wbudowanych ..

Model.find(:first, :conditions => ["login = ? AND password = ?", entered_user_name, entered_password]) 

Answer 4

Według http://ruby.railstutorial.org/ można zapobiec cross-site request forgery wstawiając znacznik

<%= csrf_meta_tags %> 

w nagłówku app/views/układów/application.html.erb.

Direct link of example

Answer 5

tego wątku referencje:

http://www.ruby-forum.com/topic/90258#new

http://www.ruby-forum.com/topic/82349#143790

znalezisko ActiveRecord za() metoda został zbudowany w taki sposób, aby uniknąć wstrzyknięcia SQL przez użyciu formatu

Czy istnieje taki system do unikania iniekcji w celu? Wydaje się, że tylko pobiera ciąg znaków i podaje go do instrukcji SQL. Powoduje to lukę przy użyciu params ustawić: porządek jak w tej funkcji:

 def list 
sort_by = params[:sort_by] 
@book_pages, @books = paginate :books, 
           :order => sort_by, 
           :per_page => 10 
    end 

Próbowaliśmy kilka metod dezynfekcji sort_by takich jak order => [ '?', sort_by] ale to właśnie przekazuje to do instrukcji SQL, takie jak spłaszczona tablica . "Uciekająca magia" nie działa na zamówienie. Należy użyć gsub! dezynfekować parametry [: sort_by]?