एसक्यूएल इंजेक्शन/गुड रूबी विधि को रोकना

Question

एसक्यूएल इंजेक्शन को रोकने के लिए रूबी में एक अच्छी विधि क्या है?

Answer 1

सीधे ऊपर में

माणिक? तैयार बयान का उपयोग करें:

require 'mysql' 
db = Mysql.new('localhost', 'user', 'password', 'database') 
statement = db.prepare "SELECT * FROM table WHERE field = ?" 
statement.execute 'value' 
statement.fetch 
statement.close 

Answer 2

न केवल रूबी में - अपने पैरामीटर को बांधें (डेटाबेस में या अपने क्लाइंट कोड में)।

Answer 3

गाइड वे इस पर है की जाँच करें: http://guides.rubyonrails.org/security.html#injection

मूल रूप से, आप अपने मॉडल में बाँध चर का उपयोग करने के लिए डेटा के बजाय इनलाइन मापदंडों लगाना चाहते हैं ..

Model.find(:first, :conditions => ["login = ? AND password = ?", entered_user_name, entered_password]) 

Answer 4

http://ruby.railstutorial.org/ के अनुसार आप अनुप्रयोग/विचारों/लेआउट/application.html.erb के शीर्षक में

<%= csrf_meta_tags %> 

टैग डालने से क्रॉस साइट रिक्वेस्ट फोर्जरी रोका जा सकता है।

Direct link of example

Answer 5

यह धागा संदर्भ:

http://www.ruby-forum.com/topic/90258#new

http://www.ruby-forum.com/topic/82349#143790

ActiveRecord की ढूंढें() विधि द्वारा तरीके एसक्यूएल इंजेक्शन से बचने के लिए बनाया गया है प्रारूप

का उपयोग कर

क्या इंजेक्शन से बचने के लिए ऐसी कोई व्यवस्था है? ऐसा लगता है कि केवल एक स्ट्रिंग लेता है और इसे SQL कथन में फ़ीड करता है। इस समारोह में के रूप में आदेश:: यह जब पैरामीटर का उपयोग कर स्थापित करने के लिए एक जोखिम का कारण बनता है [ '?', sort_by]

 def list 
sort_by = params[:sort_by] 
@book_pages, @books = paginate :books, 
           :order => sort_by, 
           :per_page => 10 
    end 

हम के रूप में आदेश => लेकिन यह इस तरह के sort_by को साफ़ करने में कुछ तरीकों की कोशिश की है बस एसक्यूएल स्टेटमेंट को एक flattened सरणी की तरह गुजरता है। 'बच निकलने वाला जादू' आदेश के लिए काम नहीं करता है। क्या मुझे gsub का उपयोग करना चाहिए! पैराम्स को स्वच्छ करने के लिए [: sort_by]?