ActiveRecordのSQLインジェクションパターン

(Last Updated On: 2018年10月7日)Railsで多用されているActiveRecordのインジェクションパターンを簡単に紹介します。出典はrails-sqli.orgなのでより詳しい解説はこちらで確認してください。特に気をつける必要があると思われる物のみをピックアップしました。 Exists?メソッド User.exists? params[:user] params[:user]などの使い方は危険です。RailsはPHPなどと同様にuser[]というパラメーターで配列化します。 ?user[]=1 が入力の場合、 SELECT 1 AS one FROM "users" WHERE (1) LIMIT 1 となり不正なクエリが実行されます。 Calculateメソッド CalculateメソッドはSQLの集約関数を実行するメソッドです。average、calcula

[YaSuYuKi]

値以外のものを直接パラメーターからセットするのはやめよう。値はプレースホルダで、それ以外は固定の変換表を

[ockeghem]

元ネタにはもっと現実にありそうな例がたくさんあるのに割愛されているのが残念です。それらの対策にはプレースホルダが有効です

[kic-yuuki]

参考にする

[shinagaki]

「コラム」かー珍しいなぁって思ったけど、なんで1回「カラム」って表記ゆれしてるんだ。「オプおション」とか、ちょっとは推敲して欲しいな

[maisenakajima]

Railsで多用されているActiveRecordのインジェクションパターンを簡単に紹介します。

[kasumani]

ActiveRecordのSQLインジェクションパターン Railsで多用されているActiveRecordのインジェクションパターンを簡単に紹介します。出典はrails-sqli. Tags: feedly, ifttt, recently read, saved for later from Pocket May 10, 2014 at 09:16PM via IFTTT

[ghostbass]

ActiveRecordはよく知らないので最初の例は「ほう」と思ったけど後ろに行くにつれ「こんなのやる奴いるのか？」って。サイト名見て納得。/いや、やってはならないことは納得。

[ktakemoto]

こりゃああれね

[anoworl]

おもろい！

[tmtms]

ActiveRecord こわい

[sue445]

改めて見直してるけどparamsからテーブル名直渡しは普通やらないなぁｗ　ソート順も画面のソートキーとDBのソートキーが一致しないことが多いからだいたいcontrollerで変換かけてる

[asuka0801]

メモメモ

[oppara]

ActiveRecordのSQLインジェクションパターン | yohgaki's blog