ActiveRecordの.orderメソッドのパラメータは、デフォルトで消されていますか？

Question

私はORDERBYがデフォルトで消毒取得する場合、私は思っていたとされていない場合、何がそれをサニタイズするための最良の方法だろうな

Item.order(orderBy) 

として、.ORDERメソッドに文字列を渡すためにしようとしています。

Answer 1

注文は消毒されません。あなたはorderByは、ユーザの入力から汚染される可能性のある方法がある場合は、クエリを実行する前にorderBy変数をチェックしたいと思う

Post.order("title; drop table users;") 

：このクエリは、実際にユーザーのテーブルをドロップします。このような何かは仕事ができる：

items = Item.scoped 
if Item.column_names.include?(orderBy) 
    items = items.order(orderBy) 
end 

Answer 2

は、私は、次のようなものを使用する：エンティティモデルクラスをある

@scoped = @scoped.order Entity.send(:sanitize_sql, "#{@c} #{@d}") 

。これらは?と.where句と同じようにサニタイズされていないが、あなたは#sanitize_sql_for_orderを使用することができます

Answer 3

：

sanitize_sql_for_order(["field(id, ?)", [1,3,2]]) 
# => "field(id, 1,3,2)" 

sanitize_sql_for_order("id ASC") 
# => "id ASC" 

http://api.rubyonrails.org/classes/ActiveRecord/Sanitization/ClassMethods.html#method-i-sanitize_sql_for_order