Wie Benutzereingabe für den Edelstein wirkt-as-markierbare-on, Ruby on Rails

Question

Im Moment mein Code sieht wie folgt sanieren:

@events = Event.tagged_with(params[:search_input]) 

Aber eine solche Abfrage ermöglicht SQL-Injections und sollte vermieden werden.

Rubyonrails.org sagt uns, wie solche Angriffe zu vermeiden (http://guides.rubyonrails.org/security.html#sql-injection)

Zum Beispiel mit questionmarks:

Model.where("login = ? AND password = ?", entered_user_name, entered_password).first 

aber ich weiß nicht, wie die Benutzereingabe sanieren für dieses Juwel. Ich habe versucht, die folgenden:

@events = Event.tagged_with("?", "%#{params[:search_input]}%") 

aber dies führt zu dem folgenden Fehler:

TypeError (no implicit conversion of Symbol into String): 

Irgendwelche Ideen, wie diese Eingabe zu sanieren? Danke im Voraus!

Answer 1

In diesem Fall behandelt der Edelstein acts_as_taggable_on die Desinfektion für Sie. Alles, was Sie tun müssen, ist Ihre params Wert an den Edelstein übergeben. Versuchen Sie das:

Normalerweise würden Sie den Ansatz verwenden, den Sie versuchten, wenn Sie direkt mit ActiveRecord interagieren. In diesem Fall erledigt acts_as_taggable_on all das intern für Sie, indem es den Abfrageparametermechanismus verwendet. Die Schnittstelle zum Schmuckstück erlaubt Ihnen nicht, auch die Parametrisierung zu verwenden, die den Fehler verursacht hat.