ruby-on-rails-3 – rails 3 activerecord命令 – 什么是正确的s

发布时间：2020-12-16 20:39:01 所属栏目：百科来源：网络整理

导读：让我们说我有一个用户的列表页面,你可以按不同的列进行排序,当点击“电子邮件”时,它将通过sort_by = email sort_direction = asc或desc sort_by = "email" # really params[:sort_by]sort_direction = "asc" # really params[:sort_direction]User.order("#

让我们说我有一个用户的列表页面,你可以按不同的列进行排序,当点击“电子邮件”时,它将通过sort_by = email sort_direction = asc或desc

sort_by = "email" # really params[:sort_by]
sort_direction = "asc" # really params[:sort_direction]
User.order("#{sort_by} #{sort_direction}")
# SELECT "users".* FROM "users" ORDER BY email asc

所以如预期的那样工作,但是如果我们改变sort_by

sort_by = "email; DELETE from users; --"
User.order("#{sort_by} #{sort_direction}")
# SELECT "users".* FROM "users" ORDER BY email; DELETE from users; -- asc

现在我们没有更多的用户:(

我可以手动构建一个有效sort_by的白名单,并将params [：sort_by]与之对比,但希望有一些内置的方式来处理这种事情

解决方法

Ryan Bates的方法：

在你的控制器：

def index
  @users = User.order(sort_by + " " + direction)
end

private
  def sort_by
    %w{email name}.include?(params[:sort_by]) ? params[:sort_by] : 'name'
  end

  def direction
    %w{asc desc}.include?(params[:direction]) ? params[:direction] : 'asc'
  end

基本上你是一个白名单,但是很容易做到并且不能注入.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!