ActiveRecordの「注文」メソッドはSQLインジェクションに対して脆弱ですか？

Question

.whereを呼び出すときに、補間された文字列を使用することは安全ではないことが分かります。

これは：

Client.where("orders_count = #{params[:orders]}")

のように書き換えることが必要です。

Client.where("orders_count = ?", params[:orders])

.orderを呼び出すときには、補間文字列を使用しても安全ですか？そうでない場合は、どのように書き直すべきですか？

Client.order("#{some_value_1}, #{some_value_2}")

Answer 1

：あなたはハッシュを経由してこれを行うことができます。

いいえ、.orderを呼び出すときに、補間文字列を使用しては安全ではありません。

私の質問に対する上記の回答は、Aaron Pattersonによって確認されました。私はhttp://rails-sqli.org/#orderを指摘しました。そのページから：

Taking advantage of SQL injection in ORDER BY clauses is tricky, but a CASE statement can be used to test other fields, switching the sort column for true or false. While it can take many queries, an attacker can determine the value of the field.

したがって、それは手動で安全であるorderに行く何かを確認することが重要です。おそらく@ dmcnallyの提案に似た方法を使用します。

ありがとうございます。

Answer 2

Client.order("#{some_value_1}, #{some_value_2}")

order = sanitize_sql_array(['%s, %s', some_value_1, some_value_2]) 
Client.order(order) 

Answer 3

短い答えはあなたの入力をサニタイズする必要があるように記述する必要があります。

補間しようとしている文字列が信頼できないソース（Webブラウザなど）からのものである場合は、まずその値を信頼できる値にマップする必要があります。はい、ActiveRecordのの「注文」方法は SQLインジェクションの脆弱性である

# Mappings from known values to SQL 
order_mappings = { 
    'first_name_asc' => 'first_name ASC', 
    'first_name_desc' => 'first_name DESC', 
    'last_name_asc' => 'last_name ASC', 
    'last_name_desc' => 'last_name DESC', 
} 

# Ordering options passed in as an array from some source: 
order_options = ['last_name_asc', 'first_name_asc'] 

# Map them to the correct SQL: 
order = order_options.map{|o| order_mappings[o] }.compact.join(', ') 
Client.order(order) 

Answer 4

これを試してみましょう！あなたがかもしれない Client.order（「;テーブルのダミーをドロップのid ASC」）：、安全なマイクもあなたが失うことを気にしないダミーのテーブルを作成し、次の操作を行うことはありません

# app/models/concern/ext_active_record.rb 
module ExtActiveRecord 
    extend ActiveSupport::Concern 

    included do 
     scope :sortable, -> (params) do 
      return unless params[:sort_by] && params[:sort_dir] 
      reorder("#{params[:sort_by]}" => "#{params[:sort_dir]}") 
     end 
    end 
end 

# app/models/user.rb 
class User < ActiveRecord::Base 
    include ExtActiveRecord 
    # .... 
end 

# app/controllers/user_controller.rb 
class UserController < ApplicationController 
    def index 
     @users = User.sortable(params).page(params[:page]).per(params[:per]) 
    end 
end