Rails SQL injection?

Question

Trong Rails, khi tôi muốn tìm một người dùng giá trị nhất định và tránh SQL injection (thoát khỏi dấu nháy và các loại tương tự) tôi có thể làm một cái gì đó như thế này:

Post.all(:conditions => ['title = ?', params[:title]]) 

Tôi biết rằng một cách an toàn để làm điều này (SQL injection có thể) là:

Post.all(:conditions => "title = #{params[:title]}") 

Câu hỏi của tôi là, phương pháp sau có ngăn SQL injection hay không?

Post.all(:conditions => {:title => params[:title]}) 

Answer 1

Vâng, đúng vậy. Chỉ cái thứ hai là nguy hiểm.

Answer 2

1 @fphilipe và @yuval Kiểm tra video này 5 phút từ railscast và một này từ rails guide

Answer 3

Một good reference từ Guides RoR.