ruby-on-rails – ActiveRecord中的.order方法参数默认是否被清理？

我试图将一个字符串传递给.order方法,例如

Item.order(orderBy)

我想知道如果orderBy在默认情况下被清除,如果没有,那么什么是最好的方法来消毒它.

解决方法

订单没有得到消毒.这个查询实际上会删除Users表：

Post.order("title; drop table users;")

在运行查询之前,您需要检查orderBy变量,如果有任何方式orderBy可能会从用户输入中被污染.这样的事情可以工作：

items = Item.scoped
if Item.column_names.include?(orderBy)
  items = items.order(orderBy)
end