http://www.oschina.net/news/29563/rails-sql-injection-vulnerability
https://groups.google.com/forum/?fromgroups#!topic/rubyonrails-security/dUaiOOGWL1k
Ruby on Rails 报 SQL 注入漏洞 (CVE-2012-2661)，版本涉及 3.0 以及以后的版本，所影响的版本包括：
影响的版本：3.0.0 and ALL later versions 未受影响的版本：2.3.14 已修复的版本：3.2.4, 3.1.5, 3.0.13
例如使用如下的方法会受影响：
Post.where(:id => params[:id]).all
修复的方法：
将下面代码
Post.where(:id => params[:id]).all
改为
Post.where(:id => params[:id].to_s).all
目前已有补丁修复该问题，详情请看这里。
无引用文章
to_s 的作用主要是将 Params[:xx] 里的 hash 转化。。。 这漏洞主要问题在于，我们可以伪造别的字段查询，而非针对我们需要的字段进行查询。如下面代码：
User.where(id: {"users.name" => 1})
#如果没问题的话，发送的SQL语句应为
SELECT `users`.* FROM `users` WHERE `id`.`users.name` = 1
#而在未修复此BUG时，会产生这样的SQL语句
SELECT `users`.* FROM `users` WHERE `users`.`name` = 1
