Custom finders and SQL Injections

my_good_bad_sqli_model.rb

################################################################################
################################## Yucky code ##################################

find_by_name name
  User.all( :conditions => "first_name LIKE #{name}% OR last_name LIKE #{name}%")   #prone to SQL injection. Imagine the parameter name = "1; drop table users;"
end


############################################################################################################################
# For Active Record to sanitize the input parameters from SQL Injection of sorts, you may adopt one of the following styles:

find_by_name name
  User.all( :conditions => ["first_name LIKE '?' OR last_name LIKE '?'",name,name])
end


find_by_name name
  User.all( :conditions => ["first_name LIKE :name OR last_name LIKE :name", {:name => name+'%'} ])
end