轨道制动员订购SQL注入

Question

从参数构造订单方法时，如何避免 Rails 中的制动器警告？

def index
  @methods = [:name, :manager, :deadline]
  assignments = Assignment.order(sort_column(@methods) + " " + sort_direction).received(current_user).root
end
def sort_column(column_names)
  column_names.each do |column|
    return column if column == params[:sort]
  end
  return 'updated_at'
end
def sort_direction
  params[:direction] == 'asc' ? 'asc' : 'desc'
end

我正在努力避免将用户生成的代码直接放入查询中，但 brakeman 仍然提醒（中等置信度）这是一个 SQL 注入漏洞。

这是误报吗？如果不是，如何纠正漏洞？

如果是这样，有没有一种简单的方法来避免误报？

Answer 1

好吧，这太长了，无法发表评论。

根据我的测试，将字符串构建移动到这样的方法中确实会使警告消失：

def index
  @methods = [:name, :manager, :deadline]
  assignments = Assignment.order(sort_order).received(current_user).root
end
def sort_order
  sort_column(@methods) + " " + sort_direction
end

然而，这只是隐藏了问题。我建议在Assignment模型中添加这样的东西：

class Assignment < ActiveRecord::Base
  def self.sorted_by(column, direction)
    direction = direction.downcase == 'asc' ? 'asc' : 'desc'
    column = sanitize_sql(column)
    order("#{column} #{direction}")
  end
end

请记住，有时您必须在保持工具满意和保持代码合理之间做出选择。至于误报，我没有看到这个特定问题得到解决，因为检查sort_column并知道它是安全的并不简单。

Answer 2

您可以在 order by 子句上添加一个清理方法

 assignments = Assignment.order(ActiveRecord::Base::sanitize(sort_column(@methods) + " " + sort_direction)).received(current_user).root