ruby-on-rails - Rails 4中的参数化连接

Question

我在做手工join我需要将参数传递给它的ON条款:

Foo.joins("LEFT OUTER JOIN bars ON foos.id = bars.foo_id AND bars.baz = #{baz}")

有没有办法通过 baz作为参数，以避免潜在的注入(inject)问题？有一种方法 sanitize_sql_array ，但我不确定在这种情况下如何使用它。

注意:我不能使用 where因为不一样。

Answer 1

使用 sanitize_sql_array，这将是:

# Warning: sanitize_sql_array is a protected method, be aware of that to properly use it in your code
ar = ["LEFT OUTER JOIN bars ON foos.id = bars.foo_id AND bars.baz = %s", baz]
# Within foo model:
sanitized_sql = sanitize_sql_array(ar)
Foo.joins(sanitized_sql)

试过了，它奏效了。