ruby-on-rails – ActiveRecord中的.order方法参数默认是否被清

发布时间：2020-12-16 21:54:06 所属栏目：百科来源：网络整理

导读：我试图将一个字符串传递给.order方法,例如 Item.order(orderBy) 我想知道如果orderBy在默认情况下被清除,如果没有,那么什么是最好的方法来消毒它. 解决方法订单没有得到消毒.这个查询实际上会删除Users表： Post.order("title; drop table users;") 在运行

我试图将一个字符串传递给.order方法,例如

Item.order(orderBy)

我想知道如果orderBy在默认情况下被清除,如果没有,那么什么是最好的方法来消毒它.

解决方法

订单没有得到消毒.这个查询实际上会删除Users表：

Post.order("title; drop table users;")

在运行查询之前,您需要检查orderBy变量,如果有任何方式orderBy可能会从用户输入中被污染.这样的事情可以工作：

items = Item.scoped
if Item.column_names.include?(orderBy)
  items = items.order(orderBy)
end

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!