ActiveRecord的“更”方法是否容易受到SQL注入的攻击？

上述问题的答案已经由亚伦·帕特森（Aaron Patterson）确认，他将我指向 http://rails-sqli.org/#order。在该页面上：

在ORDER BY子句中利用sql注入是很棘手的，但是CASE语句可用于测试其他字段，将sort列切换为true或false。尽管可能需要执行许多查询，但攻击者可以确定该字段的值。

因此，重要的是手动检查一切order安全的东西。也许通过使用类似于@dmcnally的建议的方法。

谢谢大家

SQLServer 2022/1/1 18:49:02 有350人围观

撰写回答

你尚未登录，登录后可以

和开发者交流问题的细节

关注并接收问题和回答的更新提醒

参与内容的编辑和改进，让解决方法与时俱进

请先登录

推荐问题

在Swift 2.0中将Character转换为Int

在Swift 2.0中将Character转换为Int

Swift 2022-01-01 1008
ESLint-组件应被编写为纯函数（react preferred / stateless function）

ESLint-组件应被编写为纯函数（react preferred / stateless function）

其他 2022-01-01 1158
Java Import package.* vs import package.SpecificType

Java Import package.* vs import package.SpecificType

java 2022-01-01 1148
带有React的ESLint会给出“ no-unused-vars”错误

带有React的ESLint会给出“ no-unused-vars”错误

其他 2022-01-01 1192
如何在.htaccess中隐藏.php扩展名

如何在.htaccess中隐藏.php扩展名

php 2022-01-01 1275
如何使用最新版本的jQuery并在RichFaces中为jQuery取回“ $”？

如何使用最新版本的jQuery并在RichFaces中为jQuery取回“ $”？

JS 2022-01-01 1070
在Mac中缺少对/ usr / local / lib / node_modules的写访问权限

在Mac中缺少对/ usr / local / lib / node_modules的写访问权限

Node 2022-01-01 1222
java.lang.NoClassDefFoundError：javax / persistence / SharedCacheMode

java.lang.NoClassDefFoundError：javax / persistence / SharedCacheMode

java 2022-01-01 1202
解析在React Native中找不到localStorage变量

解析在React Native中找不到localStorage变量

其他 2022-01-01 1026
如何在reactjs中显示多个标签？

如何在reactjs中显示多个标签？

其他 2022-01-01 987
Servlet Faces Servlet不可用（richfaces 4，tomcat 7）

Servlet Faces Servlet不可用（richfaces 4，tomcat 7）

Jave 2022-01-01 882
使用cURL PHP发布到Facebook用户墙

使用cURL PHP发布到Facebook用户墙

php 2022-01-01 1022
从React组件中的外部加载的HTML访问内部函数

从React组件中的外部加载的HTML访问内部函数

其他 2022-01-01 912
如何在Azure网站上的React App中替换％PUBLIC_URL％

如何在Azure网站上的React App中替换％PUBLIC_URL％

其他 2022-01-01 994
如何在macOS的Swift中全局检测击键？

如何在macOS的Swift中全局检测击键？

Swift 2022-01-01 912
带有React 16.6 Suspense的React Router“向“路由”提供了类型为“对象”的无效道具“组件”，预期为“功能”。）

带有React 16.6 Suspense的React Router“向“路由”提供了类型为“对象”的无效道具“组件”，预期为“功能”。）

其他 2022-01-01 922
React是否总是检查整个树？

React是否总是检查整个树？

其他 2022-01-01 873
在.NET / C＃中将大量记录（批量插入）写入Access

在.NET / C＃中将大量记录（批量插入）写入Access

Access 2022-01-01 984
为什么在React中认为cancelledPromise模式比isMounted（）“反模式”更好？

为什么在React中认为cancelledPromise模式比isMounted（）“反模式”更好？

其他 2022-01-01 940
蚂蚁找不到Javac，JAVA_HOME不会在Ubuntu上设置

蚂蚁找不到Javac，JAVA_HOME不会在Ubuntu上设置

java 2022-01-01 1032

ActiveRecord的“更”方法是否容易受到SQL注入的攻击？

撰写回答

推荐问题

在Swift 2.0中将Character转换为Int

ESLint-组件应被编写为纯函数（react preferred / stateless function）

Java Import package.* vs import package.SpecificType

带有React的ESLint会给出“ no-unused-vars”错误

如何在.htaccess中隐藏.php扩展名

如何使用最新版本的jQuery并在RichFaces中为jQuery取回“ $”？

在Mac中缺少对/ usr / local / lib / node_modules的写访问权限

java.lang.NoClassDefFoundError：javax / persistence / SharedCacheMode

解析在React Native中找不到localStorage变量

如何在reactjs中显示多个标签？

Servlet Faces Servlet不可用（richfaces 4，tomcat 7）

使用cURL PHP发布到Facebook用户墙

从React组件中的外部加载的HTML访问内部函数

如何在Azure网站上的React App中替换％PUBLIC_URL％

如何在macOS的Swift中全局检测击键？

带有React 16.6 Suspense的React Router“向“路由”提供了类型为“对象”的无效道具“组件”，预期为“功能”。）

React是否总是检查整个树？

在.NET / C＃中将大量记录（批量插入）写入Access

为什么在React中认为cancelledPromise模式比isMounted（）“反模式”更好？

蚂蚁找不到Javac，JAVA_HOME不会在Ubuntu上设置

分类汇总

您的鼓励是对我最大的支持