sql - 如何清理 Arel SQL？

Question

我有以下 Arel SQL:

Arel.sql("(users.last_donated_at IS NOT NULL AND users.last_donated_at < '#{User::ACTIVE_DONOR_WITHIN_DAYS.days.ago}')")

我在运行 brakeman 时收到 SQL 注入(inject) 警告。我尝试了以下方法:

Arel.sql("(users.last_donated_at IS NOT NULL AND users.last_donated_at < ?)", User::ACTIVE_DONOR_WITHIN_DAYS.days.ago)

但是，我收到以下错误:

ArgumentError:
       wrong number of arguments (given 2, expected 1)

我如何使用 Arel 清理 sql 语句？

Answer 1

我正在回答我自己的问题。我在 Github wiki 之后使用 Arel for Ransack gem。我正在做的事情与文档中提到的第 # 2.2 点非常相似:https://github.com/activerecord-hackery/ransack/wiki/Using-Ransackers .为了清理参数并避免 brakeman sql injection 警告，我最终执行了以下操作:

Arel.sql(sanitize_sql_array("(users.last_donated_at IS NOT NULL AND users.last_donated_at < '#{User::ACTIVE_DONOR_WITHIN_DAYS.days.ago}')"))