はてなブックマーク

2007/08/14 ActiveRecord::Base.connection.quote ActiveRecord で DB の検索を行う場合、SQL インジェクション攻撃を防ぐために検索パラメータを配列として渡すことが勧められている。MyModel::find( :all, :conditions => ["key_a = ? AND key_b = ?", value_a, value_b]簡単な条件はこの配列書式で表現できるが、複雑なものでは SQL を直に書くことになる。例えば、前述の例を SQL で直に書くとこのようになる。MyModel::find( :all, :conditions => "key_a = #{value_a} AND key_b = #{value_b}" )この書き方だと SQL インジェクションの危険に曝されるので、何かしらの方法で value_a