Rails SQL注入？

Question

在Rails中，當我想通過一個用戶給定值找到並避免SQL注入（逃避撇號等），我可以做這樣的事情：

Post.all(:conditions => ['title = ?', params[:title]]) 

我知道，這樣做都是不安全的（可能的SQL注入）是這樣的：

Post.all(:conditions => "title = #{params[:title]}") 

我的問題是，下列方法是否阻止SQL注入？

Post.all(:conditions => {:title => params[:title]}) 

Answer 1

是的，它的確如此。只有第二個是危險的。

Answer 2

+1 @fphilipe和@yuval檢查從railscast這5分鐘的視頻，這一次從rails guide

Answer 3

一個good reference從RoR的指南。