ActiveRecord 的 order 方法对于插入用户输入的字符串是否安全？

Question

我想在 Rails 中做这样的事情：

People.order("#{params[:sort]}, first_name, middle_name, last_name")

这样安全吗？还是我需要自己解析params[:sort] 并确保它是一个有效列的列表？我不介意出现数据库错误，但我不能有 SQL 注入的可能性。

Answer 1

默认情况下订单不安全

见：

• rails 3 activerecord order - what is the proper sql injection work around?
• http://railscasts.com/episodes/228-sortable-table-columns

Answer 2

你可以这样做：

if People.attribute_names.include?(params[:sort].to_s)
  People.order("#{params[:sort]}, first_name, middle_name, last_name")
end