ActiveRecordのSQLインジェクションパターン

テクノロジーカテゴリーの変更を依頼記事元:

blog.ohgaki.net

196 usersがブックマークコメント

ActiveRecordのSQLインジェクションパターン

(Last Updated On: 2018年10月7日)Railsで多用されているActiveRecordのインジェクションパターンを簡単... (Last Updated On: 2018年10月7日)Railsで多用されているActiveRecordのインジェクションパターンを簡単に紹介します。出典はrails-sqli.orgなのでより詳しい解説はこちらで確認してください。特に気をつける必要があると思われる物のみをピックアップしました。 Exists?メソッド User.exists? params[:user] params[:user]などの使い方は危険です。RailsはPHPなどと同様にuser[]というパラメーターで配列化します。 ?user[]=1 が入力の場合、 SELECT 1 AS one FROM "users" WHERE (1) LIMIT 1 となり不正なクエリが実行されます。 Calculateメソッド CalculateメソッドはSQLの集約関数を実行するメソッドです。average、calcula

YaSuYuKi 値以外のものを直接パラメーターからセットするのはやめよう。値はプレースホルダで、それ以外は固定の変換表を

sql
security

2014/05/10 リンク

ockeghem 元ネタにはもっと現実にありそうな例がたくさんあるのに割愛されているのが残念です。それらの対策にはプレースホルダが有効です

shinagaki 「コラム」かー珍しいなぁって思ったけど、なんで1回「カラム」って表記ゆれしてるんだ。「オプおション」とか、ちょっとは推敲して欲しいな

2014/05/12 リンク

maisenakajima Railsで多用されているActiveRecordのインジェクションパターンを簡単に紹介します。

2014/05/11 リンク

kasumani ActiveRecordのSQLインジェクションパターン Railsで多用されているActiveRecordのインジェクションパターンを簡単に紹介します。出典はrails-sqli. Tags: feedly, ifttt, recently read, saved for later from Pocket May 10, 2014 at 09:16PM via IFTTT