Phương thức "order" của ActiveRecord có dễ bị tấn công SQL injection không?

Question

Tôi biết không an toàn khi sử dụng các chuỗi nội suy khi gọi .where.

ví dụ: này:

Client.where("orders_count = #{params[:orders]}")

nên được viết lại như sau:

Client.where("orders_count = ?", params[:orders])

Có an toàn để sử dụng chuỗi nội suy khi gọi .order? Nếu không, làm thế nào sau đây nên được viết lại?

Client.order("#{some_value_1}, #{some_value_2}")

Answer 1

Vâng, ActiveRecord của “trật tự” phương pháp là dễ bị SQL injection.

Không, nó là không an toàn để sử dụng chuỗi nội suy khi gọi .order.

Câu trả lời ở trên cho câu hỏi của tôi đã được xác nhận bởi Aaron Patterson, người đã chỉ cho tôi http://rails-sqli.org/#order. Từ trang đó:

Taking advantage of SQL injection in ORDER BY clauses is tricky, but a CASE statement can be used to test other fields, switching the sort column for true or false. While it can take many queries, an attacker can determine the value of the field.

Do đó, việc kiểm tra thủ công mọi thứ đến order là an toàn; có lẽ bằng cách sử dụng các phương pháp tương tự như đề xuất của @ dmcnally.

Cảm ơn tất cả.

Answer 2

Client.order("#{some_value_1}, #{some_value_2}")

nên được viết như

order = sanitize_sql_array(['%s, %s', some_value_1, some_value_2]) 
Client.order(order) 

Answer 3

Câu trả lời ngắn là bạn cần phải khử trùng đầu vào của bạn.

Nếu chuỗi bạn dự định nội suy đến từ nguồn không đáng tin cậy (ví dụ: trình duyệt web) thì trước tiên bạn cần ánh xạ chúng tới các giá trị đáng tin cậy. Bạn có thể làm điều này thông qua một băm:

# Mappings from known values to SQL 
order_mappings = { 
    'first_name_asc' => 'first_name ASC', 
    'first_name_desc' => 'first_name DESC', 
    'last_name_asc' => 'last_name ASC', 
    'last_name_desc' => 'last_name DESC', 
} 

# Ordering options passed in as an array from some source: 
order_options = ['last_name_asc', 'first_name_asc'] 

# Map them to the correct SQL: 
order = order_options.map{|o| order_mappings[o] }.compact.join(', ') 
Client.order(order) 

Answer 4

Hãy thử điều này!

# app/models/concern/ext_active_record.rb 
module ExtActiveRecord 
    extend ActiveSupport::Concern 

    included do 
     scope :sortable, -> (params) do 
      return unless params[:sort_by] && params[:sort_dir] 
      reorder("#{params[:sort_by]}" => "#{params[:sort_dir]}") 
     end 
    end 
end 

# app/models/user.rb 
class User < ActiveRecord::Base 
    include ExtActiveRecord 
    # .... 
end 

# app/controllers/user_controller.rb 
class UserController < ApplicationController 
    def index 
     @users = User.sortable(params).page(params[:page]).per(params[:per]) 
    end 
end