在Rails中防止SQL注入

Question

我想在rails中對一些記錄進行排序，並且我傳遞了一些像created_at DESC這樣的參數，並且想知道 - ActiveRecord是否恰當地轉義了SQL，或者這是一種糟糕的方式做到這一點？我嘗試用?代替，就像我通常對字符串所做的那樣，但儘管我可以在SQLite中使用它，但是PG卻拋出了一個錯誤。

以下是我正在做的工作 - 但想知道它是否安全？

if params[:by] 
     @photos = Photo.find(:all, :order => params[:by])  
    else 
     ... 

Answer 1

如果您像上面那樣使用Active Record Query Interface，Rails將執行SQL清理。見http://guides.rubyonrails.org/active_record_querying.html