Rails搜索数组列和SQL注入

Question

我的问题很快。此代码是否容易受到SQL注入攻击：

ActiveAdmin::SurveyPack.where("survey_schemas @> '{#{survey_schema}}'")

survey_schemas列是我的rails应用程序中的一个数组列。

Answer 1

请简单。

    ActiveAdmin::SurveyPack.where("survey_schemas @> ARRAY[?]", survey_schema)

或

    ActiveAdmin::SurveyPack.where("survey_schemas = ARRAY[?]", survey_schema)

快乐的编码。

Answer 2

简短回答，是的。

来自ActiveAdmin::SurveyPack.where("survey_schemas @> '{#{survey_schema}}'")

到ActiveAdmin::SurveyPack.where("survey_schemas @> '{?}'", survey_schema)