SQL Injection/Good Ruby yönteminin önlenmesi

Question

SQL Injection'ı önlemek için Ruby'de iyi bir yöntem nedir?

Answer 1

.. verilerini yerine satır içi parametreleri bulmak için model bağlama değişkenleri kullanmak istiyorum yakut? Hazırlanan ifadeleri kullanın:

require 'mysql' 
db = Mysql.new('localhost', 'user', 'password', 'database') 
statement = db.prepare "SELECT * FROM table WHERE field = ?" 
statement.execute 'value' 
statement.fetch 
statement.close 

Answer 2

Sadece Ruby'de değil - parametrelerinizi bağlayın (veritabanında veya istemci kodunda olsun).

Answer 3

Kontrol dışarı bu kadar sahip kılavuzu: Temelde http://guides.rubyonrails.org/security.html#injection

, ayağa düz içinde

Model.find(:first, :conditions => ["login = ? AND password = ?", entered_user_name, entered_password]) 

Answer 4

http://ruby.railstutorial.org/ göre sen app/views/düzenleri/application.html.erb başlığında

<%= csrf_meta_tags %> 

etiketi ekleyerek xsrf önleyebilir.

Direct link of example

Answer 5

Bu iplik referanslar:

http://www.ruby-forum.com/topic/90258#new

http://www.ruby-forum.com/topic/82349#143790

activerecord en bulmak format() yöntemi

kullanılarak tarafından SQL enjeksiyon önlemek için şekillerde inşa etti

Enjeksiyondan kaçmak için böyle bir sistem var mı? sadece bir dize alıp SQL deyimiyle besleniyor gibi görünüyor. ayarlamak için params kullanılırken bu bir açığını neden olur: sipariş bu işlevinde olarak:

 def list 
sort_by = params[:sort_by] 
@book_pages, @books = paginate :books, 
           :order => sort_by, 
           :per_page => 10 
    end 

Biz order => [ '?', sort_by] ancak bunun gibi sort_by sterilize için birkaç metot denedim sadece bunu düzleştirilmiş bir dizisi gibi SQL deyimine geçirir. 'Kaçan sihir' sipariş için işe yaramaz. gsub kullanmalı mıyım? paramları sterilize etmek [: sort_by]?