Rails作用域和sql注入

Question

这是从sql注入安全的代码吗？

scope :by_file_name, proc { |file_name| where("source_file ilike '%#{file_name}%'") } 

Answer 1

这是安全参数传递的最好办法从sql注入是

scope :by_file_name, proc { |file_name| where("source_file ilike ?", "%#{file_name}%") } 

Answer 2

号

它应该是：

scope :by_file_name, proc { |file_name| where("source_file ilike ?", file_name) } 

Answer 3

不，你应该做这样的范围：

scope :by_file_name, proc { |file_name| where("source_file ilike '%?%'", file_name) }