More than 3 years have passed since last update.

Ruby on Rails のwhereメソッドの条件を文字列だけで構成するとはSQLインジェクションの危険がある。

Last updated at 2021-10-10Posted at 2021-10-10

Railsのwhereメソッドの条件を文字列だけで構成することは危険なようです。

Webサービス作成する中で「あるカラムに値が設定されているレコードを取得する」為、下記のようにコーディングしていました。

値が設定されていないだったらRailsのwhereメソッドに「selling_day:nil」みたいな感じで取得してあげれば良いかと思いますが

stocks_controller.rb

@stock = Goal.where('selling_day like ?','%')

ただ、文字列だけで条件を指定するとSQLインジェクションのリスクがあるようです。
具体的には

stocks_controller.rb

@stock = Goal.where("selling_day = '#{params[:day]}'")

みたいに書くとparams[:day]に悪意のある文字列を設定され、認証をすり抜けるリスクがあります。
下記のように条件をハッシュ値で指定するか、配列で指定するようにするとリスク回避できるようです。

stocks_controller.rb

@stock = Stock.where(sold:true)