IP Girl
  1. IP Girl
  3. ActiveRecord Safe comme requête
Intereting Posts
Inverser l’image affichée par imshow dans matplotlib Quelles sont les bases de données utilisées par les sites les plus importants du World Wide Web? Vim: comment supprimer chaque seconde ligne? Algorithme pour calculer le nombre de disques en intersection WPF: liaison de données TextBox simple Est-il préférable de réutiliser un SsortingngBuilder en boucle? Exemple de base d’utilisation de .ajax () avec JSONP? Le remplissage n’affecte pas dans une mise en page XML Pourquoi Java Streams est-il unique? Créer un fichier de départ à partir de données déjà présentes dans la firebase database Python: Ecriture d’un dictionnaire dans un fichier csv avec une ligne pour chaque «clé: valeur» Trouver le numéro de fibonacci nth pour très grand ‘n’ Emacs: rouvrir les tampons de la dernière session au démarrage? Quelle est la meilleure façon d’extraire le premier mot d’une chaîne en Java? Dois-je éviter les gestionnaires d’événements ‘async void’?

ActiveRecord Safe comme requête

J’essaie d’écrire la requête LIKE.

J’ai lu que les requêtes de chaînes de caractères pures ne sont pas sûres, mais je n’ai trouvé aucune documentation expliquant comment écrire en toute sécurité LIKE Hash Query.

C’est possible? Dois-je me défendre manuellement contre l’injection SQL?

Pour vous assurer que votre chaîne de requête est correctement filtrée, utilisez le tableau ou la syntaxe de requête de hachage pour décrire vos conditions: 

Foo.where("bar LIKE ?", "%#{query}%")

ou: 

 Foo.where("bar LIKE :query", query: "%#{query}%")

S’il est possible que la query inclue le caractère % vous devez d’abord assainir la query avec sanitize_sql_like : 

 Foo.where("bar LIKE ?", "%#{sanitize_sql_like(query)}%") Foo.where("bar LIKE :query", query: "%#{sanitize_sql_like(query)}%")

En utilisant Arel, vous pouvez effectuer cette requête sécurisée et portable: 

 title = Model.arel_table[:title] Model.where(title.matches("%#{query}%"))

Pour PostgreSQL, ce sera 

 Foo.where("bar ILIKE ?", "%#{query}%")

Tu peux faire 

 MyModel.where(["title LIKE ?", "%#{params[:query]}%"])