ruby-on-rails - Rails で SQL インジェクションからクエリを防ぐことができません

Question

私は Rails プロジェクトに取り組んでおり、デバッグ用のツールとして Brakeman を使用しています。テーブルからデータを取得するためにクエリを使用しましたが、Brakeman のテスト中に、クエリに Sql Injection Possibility があることが示されています。

これが私のクエリです：

Applicant.all.where("profile_id=#{current_user.profile.id}").first

しかし、このクエリの何が問題なのかわかりません。セキュリティで保護されていない場合、SQL インジェクションを防ぐにはどうすればよいですか?

Answer 1

あなたが探しているものは次のとおりだと思います：

Applicant.find_by(profile_id: current_user.profile.id)

このコードを読むと、何をしているのかが理解しやすくなります。