parametrized tham gia trong Rails 4

Question

Tôi đang làm thủ công join và tôi cần phải vượt qua một tham số quy định tại khoản ON của nó:

Foo.joins("LEFT OUTER JOIN bars ON foos.id = bars.foo_id AND bars.baz = #{baz}") 

Có cách nào để vượt qua baz như một tham số, để tránh các vấn đề tiêm tiềm năng? Có một phương pháp sanitize_sql_array, nhưng tôi không chắc chắn làm thế nào để sử dụng nó trong trường hợp này.

Lưu ý: Tôi không thể sử dụng where vì nó không giống nhau.

Answer 1

Với sanitize_sql_array, đó sẽ là:

# Warning: sanitize_sql_array is a protected method, be aware of that to properly use it in your code 
ar = ["LEFT OUTER JOIN bars ON foos.id = bars.foo_id AND bars.baz = %s", baz] 
# Within foo model: 
sanitized_sql = sanitize_sql_array(ar) 
Foo.joins(sanitized_sql) 

thử nó và nó làm việc.

mô hình kỷ lục

Answer 2

Tôi nghĩ bạn nên cố gắng như thế này:

Foo.joins("LEFT OUTER JOIN bars ON foo.id = bars.foo_id AND bars.baz = ?", baz) 

Với các thông số hơn:

Foo.joins("LEFT OUTER JOIN bars ON foo.id = ? AND bars.baz = ? AND ...", foo, baz, etc...) 

Answer 3

Bạn nên được an toàn nếu bạn vượt qua một hash của các giá trị, AR sẽ bảo vệ bạn chống lại tiêm SQL, như thế này:

Foo.joins("LEFT OUTER JOIN bars ON foo.id = bars.foo_id").where(bars: {baz: baz}) 

Chỉ cần không sử dụng chuỗi hàng trong sql dễ bị chèn ép sql.

Answer 4

kích hoạt có sanitize phương pháp lớp học, vì vậy bạn có thể làm:

Foo.joins("LEFT OUTER JOIN bars ON foos.id = bars.foo_id AND bars.baz = #{Foo.sanitize(baz)}")