Railsのセキュリティ対策で調べた事 - Qiita# { name: "' or 1=1 --'" } 等が指定され場合にダメ User.where("name='#{params[:name]}'") # => placeholder使うようにする User.where(name: params[:name]) User.where("name = ?", params[:name]) # {order: ",8"} Orderメソッドは列番号指定が可能 User.order("name #{params[:order]}") # {id: 532, lock: "or 1=1"} lockは任意のSQLを指定できる User.where(id: params[:id]).lock(parmas[:lock])
