Rails injection SQL?

Question

Dans Rails, quand je veux trouver par une valeur donnée d'utilisateur et d'éviter l'injection SQL (échapper Apostrophes et similaires) que je peux faire quelque chose comme ceci:

Post.all(:conditions => ['title = ?', params[:title]]) 

Je sais que d'une façon non sécuritaire de le faire (possible injection SQL) est la suivante:

Post.all(:conditions => "title = #{params[:title]}") 

Ma question est, ne la méthode suivante empêche l'injection SQL ou non?

Post.all(:conditions => {:title => params[:title]}) 

Answer 1

Oui, c'est le cas. Seul le second est dangereux.

Answer 2

+1 @fphilipe et @yuval Cochez cette case vidéo 5 min de railscast et celui-ci de rails guide

Answer 3

Un good reference des guides RoR.