Slide 40
Slide 40 text
SQL インジェクション
外部から入力された文字列をそのまま SQL に埋め込むのはまずい
なのでエスケープする
str = "abc' OR 1 -- "
"WHERE str='#{str}'" #=> "WHERE str='abc' OR 1 -- '"
str = "abc' OR 1 -- ".gsub("'", "\\'") #=> "abc\' OR 1 -- "
"WHERE str='#{str}'" #=> "WHERE str='abc\' OR 1 -- '"
40