BrakemanでSQL Injectionを解決する

Question

前提・実現したいこと

　Brakemanを導入しており、警告が出るので、それを出ないようにしたいです。
ignoreすることで解消することは分かっているのですが、それ以外に方法はありますでしょうか？

発生している問題・エラーメッセージ

== Warnings ==

Confidence: Medium
Category: SQL Injection
Check: SQL
Message: Possible SQL injection
Code: connection.delete("/api/v2/users/#{user_id}")
File: app/models/hoge.rb
Line: 29

該当のソースコード

def delete_user(user_id)
  connection = Faraday::Connection.new("https://example.com")
  connection.delete "/api/v2/users/#{user_id}"
end

Answer 1

Check: SQL
Message: Possible SQL injection
Code: connection.delete("/api/v2/users/#{user_id}")

誤検知ですね。
たまたま「ActiveRecord::Base.connectionというメソッドがあり、それに対してdeleteというメソッドを用いる事でsqlを実行できる。」
というActiceRecordの仕様があったため、そちらを使っていると誤認識されています。

変数名をconnection以外に変えるとよいと思います。faradayとかconnとか

Comments

[puuumipon]

全然気づきませんでした！！
なんでSQL Injection？と思っていたので、納得しました！
確かに変数名を変えたらいけました！
ありがとうございます！