ruby-on-rails - 如何在事件记录 where 子句中使用通配符同时防止 sql 注入(inject)

Question

从rails事件记录查询guide on sql injection

This code is highly preferable:

Client.where("orders_count = ?", params[:orders])

到这段代码:

Client.where("orders_count = #{params[:orders]}")

我的问题是我想使用带有通配符的 LIKE 子句。我的旧查询看起来像这样 -

User.where("first_name LIKE '%#{first_name}%'") 

哪个容易受到 sql 注入(inject)的影响，但如果我这样做:

User.where("first_name LIKE '%?%'", first_name)

然后生成的 sql 如下所示:

SELECT "users".* FROM "users"  WHERE (first_name LIKE '%'michael'%')

由于额外的单引号，这是无效的。

使用通配符和 LIKE 子句的最佳方法是什么，同时还可以防止 sql 注入(inject)攻击？

Answer 1

您应该像这样修改您的查询

User.where("first_name LIKE (?)", "%#{first_name}%")