Rails 5.2.3 上的危险查询方法弃用警告

这是预期的行为，你链接到正确的讨论，这正是它的本质。不过，我可以再详细阐述一下，这样就很容易理解了。

首先，重新解释sql注入，仅供参考，这样做：

MyModel.order('LOWER(name) ASC')

意味着人们可以在订单函数中传递任何字符串，此字符串可能包含来自用户的列名和/或订单类型输入。

现在，假设您的 Web 应用程序中有一个下拉列表，用户在其中选择列，另一个下拉列表在用户选择 desc 或 asc 并提交。数据。

在控制器操作中，可能要做的是：

order_sql = "#{params[:column_name]} #{params[:column_order]}"

这正是 sql 注入可以发生的地方，恶意用户可以编辑表单提交数据，而不是发送 or in param，他可以发送一些 sql 脚本，如下所示： 导致 SQL 注入，这就是为什么 rails 希望用户在顺序函数中使用 sql 时要谨慎。并特别允许使用用户的安全 sql。ascdesccolumn_orderasc; delete from table_name_user_guessed_or_knowsArel

现在是第二部分，为什么允许将 name asc 作为输入而不允许 LOWER（name） asc？

弃用警告如下：

弃用警告：使用非属性参数调用的危险查询方法（其参数用作原始 SQL）的方法：“LOWER（name） asc”。在 Rails 6.0 中将不允许使用非属性参数。不应使用用户提供的值（如请求参数或模型属性）调用此方法。可以通过将已知安全值包装在 Arel.sql（） 中来传递它们

关注以下词语：非属性参数，非属性参数是任何非属性的东西，无论是在末尾附加用于 SQL 注入的任何额外 sql，还是对属性的某个方法调用，因为方法调用也可用于更改 SQL 的预期行为。

接下来，你问：

order 子句 LOWER（name） ASC 不包含任何用户输入

Rails 根本无法知道字符串是如何形成的，它只知道它是一个正在传递的字符串。这就是为什么它抱怨并希望开发人员保持谨慎。

这就是允许的原因，因为它是简单的属性参数。虽然由于它不是简单的属性参数而引发警告，但对此参数有一个方法调用，该方法可用于 SQL 注入。
（显然，攻击者可能不会使用简单的函数进行攻击，而是会使用一些特殊函数，也许是他在之前甚至相同的调用中用类似的注入方法定义的函数）。name ascLOWER(name) ascLOWER