Rails scope и sql injection

Question

Является ли этот код безопасным от SQL-инъекции?

scope :by_file_name, proc { |file_name| where("source_file ilike '%#{file_name}%'") } 

Answer 1

Лучший способ передачи параметров, который является безопасным из sql-инъекции

scope :by_file_name, proc { |file_name| where("source_file ilike ?", "%#{file_name}%") } 

Answer 2

No.

Оно должно быть:

scope :by_file_name, proc { |file_name| where("source_file ilike ?", file_name) } 

Answer 3

Нет, вы должны сделать сферу, как это:

scope :by_file_name, proc { |file_name| where("source_file ilike '%?%'", file_name) }