Question

我想在Rails中做这样的事情：

People.order("#{params[:sort]}, first_name, middle_name, last_name")

这样安全吗？或者我是否需要自己解析params[:sort]并确保它是事先列出的有效列？我不介意收到数据库错误，但我无法进行SQL注入。

Answer 1

你可以这样做：

if People.attribute_names.include?(params[:sort].to_s)
  People.order("#{params[:sort]}, first_name, middle_name, last_name")
end

Answer 2

默认情况下订单不安全

请参阅：