Ngăn chặn phương pháp SQL Injection/Good Ruby

Question

Phương pháp tốt trong Ruby để ngăn chặn SQL Injection là gì?

Answer 1

trong thẳng lên ruby? sử dụng chuẩn bị phát biểu:

require 'mysql' 
db = Mysql.new('localhost', 'user', 'password', 'database') 
statement = db.prepare "SELECT * FROM table WHERE field = ?" 
statement.execute 'value' 
statement.fetch 
statement.close 

Answer 2

Không chỉ trong Ruby - ràng buộc các tham số của bạn (có thể là trong cơ sở dữ liệu, hoặc trong mã máy khách của bạn).

Answer 3

Kiểm tra hướng dẫn họ có lên trên này: http://guides.rubyonrails.org/security.html#injection

Về cơ bản, bạn muốn sử dụng các biến ràng buộc trong các mô hình của bạn để tìm dữ liệu, chứ không phải là thông số inline ..

Model.find(:first, :conditions => ["login = ? AND password = ?", entered_user_name, entered_password]) 

Answer 4

Theo http://ruby.railstutorial.org/ bạn có thể ngăn Site Chữ thập Yêu cầu giả mạo bằng cách chèn thẻ

<%= csrf_meta_tags %> 

trong tiêu đề của app/views/layouts/application.html.erb.

Direct link of example

Answer 5

chủ đề này tham khảo:

http://www.ruby-forum.com/topic/90258#new

http://www.ruby-forum.com/topic/82349#143790

tìm ActiveRecord() của phương pháp đã được xây dựng trong những cách để tránh SQL injection bởi sử dụng định dạng

Có bất kỳ hệ thống như vậy để thoát thuốc tiêm theo thứ tự không? Có vẻ như chỉ lấy một chuỗi và đưa nó vào câu lệnh SQL. Điều này gây ra một lỗ hổng khi sử dụng params để thiết lập: trật tự như trong chức năng này:

 def list 
sort_by = params[:sort_by] 
@book_pages, @books = paginate :books, 
           :order => sort_by, 
           :per_page => 10 
    end 

Chúng tôi đã thử một vài phương pháp để khử trùng sort_by như trật tự => [ '?', sort_by] nhưng nó chỉ chuyển cho câu lệnh SQL như một mảng phẳng. 'Phép thuật thoát' không hoạt động cho trật tự. Tôi có nên sử dụng gsub không! để khử trùng params [: sort_by]?