sql - 如何在 Rails 中执行任意参数化 SQL

Question

出于性能原因，我需要在我的 Rails 模型中编写一个新方法来执行一些任意 SQL:

UPDATE table
   SET col1 = ? AND col2 = ?
   WHERE id = ?

我知道我可以使用 ActiveRecord::Base.connection.execute或 ActiveRecord::Base.connection.update使用一串 SQL 来获得我需要的结果，但是用实际参数值替换参数占位符 ( ? ) 的正确程序是什么？是否有 Rails 方法可以将参数插入 SQL 语句，还是应该通过手动插值来完成？后者似乎不安全...

Answer 1

你也可以这样做:

updates = ActiveRecord::Base.send(:sanitize_sql_array, ["name = ? and category = ?", name, category])
ActiveRecord::Base.connection.execute("update table set #{updates} where id = #{id.to_s.to_i}")

to_s正在调用 id之前 to_i万一它为零。