Безопасен ли метод заказа ActiveRecord для вставки введенных пользователем строк?

Question

Я хочу сделать что-то подобное в Rails:

People.order("#{params[:sort]}, first_name, middle_name, last_name") 

Является ли это безопасно? Или мне нужно разобрать params[:sort] и убедиться, что это список допустимых столбцов заранее? Я не против получения ошибки базы данных, но у меня не может быть возможности SQL-инъекции.

Answer 1

заказ не является безопасным по умолчанию

См:

• rails 3 activerecord order - what is the proper sql injection work around?
• http://railscasts.com/episodes/228-sortable-table-columns

Answer 2

Вы можете сделать это:

if People.attribute_names.include?(params[:sort].to_s) 
    People.order("#{params[:sort]}, first_name, middle_name, last_name") 
end