Rails SQL注入？

Question

在Rails中，当我想通过用户给定值查找并避免SQL注入(转义撇号等)时，我可以这样做：

Post.all(:conditions => ['title = ?', params[:title]])

我知道这样做的一种不安全的方式(可能是SQL注入)是：

Post.all(:conditions => "title = #{params[:title]}")

我的问题是，以下方法是否阻止SQL注入？

Post.all(:conditions => {:title => params[:title]})

Answer 1

是的，确实如此。只有第二个是危险的。

Answer 2

RoR指南中的一个good reference。

Answer 3

+1 @fphilipe和@yuval查看来自railscast和rails guide的这段5分钟的视频