ruby-on-rails - 为 Rails 上的连接、限制、选择等(不是条件)的 SQL 片段安全地转义字符串

Question

在 Ruby on Rails 中，对于条件，很容易进行 SQL 防注入(inject)查询:

:conditions => ["title = ?", title]

标题来自外部，来自 Web 表单或类似的东西。

但是，如果您在查询的其他部分使用 SQL 片段怎么办，例如:

:select => "\"#{title}\" AS title"   # I do have something like this in one instance
:joins => ["LEFT JOIN blah AS blah2 ON blah2.title = \"#{title}\""]

有没有办法正确转义这些字符串？

Answer 1

通常在 Rails 中，连接是作为表示 i​​d 连接的符号(或作为二阶连接的散列)完成的，您可以使用条件对其进行过滤。如果您需要按所示进行，那么您可以使用 ActiveRecord 的 sanitize_sql_array清理 SQL 字符串，如下所示:

sanitize_sql_array(["LEFT JOIN blah AS blah2 ON blah2.title = ?", @blah.title])