mysql - 在 Rails 中的参数化 SQL 查询中转义 ':' 和 '?'

Question

我想知道如何在一般的 SQL 查询中转义 ? 和 :。

这些只是随意的例子:

Post.find_by_sql ["SELECT title, author, content FROM post where author = ? AND RIGHT(content, 1) = '?'", @author]

(查找以 ? 结尾的帖子)

Post.find_by_sql ["SELECT title, author, content FROM post where author = :author AND title LIKE 'Foo:bar%'", {author:@author}]

(查找以 foo:bar 开头的帖子)

我不是在问如何转义以防止注入(inject)。我问的是当我使用参数化查询时，rails 会将 ? 和 :some_var 作为参数。但是，如果我想使用 ? 和 :stuff 作为查询的一部分怎么办？我如何转义它们以便 Rails 将它们视为字符串而不是试图找到匹配的参数？

我知道一个解决方案是像这样编写这两个查询:

Post.find_by_sql ["SELECT title, author, content FROM post where author = ? AND RIGHT(content, 1) = ?", @author, '?']

Post.find_by_sql ["SELECT title, author, content FROM post where author = :author AND title LIKE CONCAT(:name, '%')", {author:@author, name:'foo:bar'}]

但是有没有更优雅的方式呢？

Answer 1

参见quote 方法:http://api.rubyonrails.org/classes/ActiveRecord/ConnectionAdapters/Quoting.html#method-i-quote

我知道你说的是“一般”，但上面的两个查询可以使用 ActiveRecord 编写，这样你就可以避免自己引用东西。