rails：構建方法是否防止sql注入

Question

構建防止sql注入嗎？

例子：

@post = @user.posts.build(params[:post]) 
@post.save 

沒看到建在軌安全文檔。

謝謝！

Answer 1

build本身不會向數據庫寫入任何內容，所以SQL注入不適用。當您致電save時，無論對象是通過build創建還是通過其他機制（例如將屬性傳遞給new或使用單個attribute=方法創建），都將使用相同的代碼將對象保存到數據庫。

從documentation on build：

返回已通過連接表實例化 屬性和鏈接到該對象 集合 類型的新對象，但還沒有 尚未保存。

的save方法使用適合於您正在使用（如MySQL的），使得所得insert或create查詢不容易受到SQL注入數據庫的方法逃避任何報價等在你的屬性值。這同樣適用於update_attributes以及您傳遞給find的任何參數化的:conditions。當你需要小心並且可能需要做一些手動轉義的時候，如果你曾經將字符串作爲查詢傳遞給數據庫連接。