Rails SQL注入？

Question

在Rails中，当我想通过一个用户给定值找到并避免SQL注入（逃避撇号等），我可以做这样的事情：

Post.all(:conditions => ['title = ?', params[:title]]) 

我知道，这样做都是不安全的（可能的SQL注入）是这样的：

Post.all(:conditions => "title = #{params[:title]}") 

我的问题是，下列方法是否阻止SQL注入？

Post.all(:conditions => {:title => params[:title]}) 

Answer 1

是的，它的确如此。只有第二个是危险的。

Answer 2

+1 @fphilipe和@yuval检查从railscast这5分钟的视频，这一次从rails guide

Answer 3

一个good reference从RoR的指南。