ActiveRecord的訂單方法是否可以安全地插入用戶輸入的字符串？

Question

我想要做這樣的事情在Rails的：

People.order("#{params[:sort]}, first_name, middle_name, last_name") 

這安全嗎？或者我需要自己解析params[:sort]，並確保它是預先列出的有效列表？我不介意發生數據庫錯誤，但我不能有SQL注入的可能性。

Answer 1

順序是不是默認安全

參見：

• rails 3 activerecord order - what is the proper sql injection work around?
• http://railscasts.com/episodes/228-sortable-table-columns

Answer 2

你可以這樣做：

if People.attribute_names.include?(params[:sort].to_s) 
    People.order("#{params[:sort]}, first_name, middle_name, last_name") 
end