Iniezione SQL delle rotaie?

Question

In Rails, quando voglio trovare da un dato valore di utente ed evitare SQL injection (fuga apostrofi e simili) che posso fare qualcosa di simile:

Post.all(:conditions => ['title = ?', params[:title]]) 

So che un modo non sicuro di fare questo (possibile SQL injection) è questo:

Post.all(:conditions => "title = #{params[:title]}") 

la mia domanda è, fa il seguente metodo prevenire SQL injection o no?

Post.all(:conditions => {:title => params[:title]}) 

Answer 1

Sì, lo fa. Solo il secondo è pericoloso.

Answer 2

+1 @fphilipe e @yuval Selezionare questa 5 min video da railscast e questo da rails guide

Answer 3

Uno good reference dalle guide RoR.