如何解决使用 Rails 中的引号清理原始 SQL 查询
我正在尝试编写几个原始 SQL 查询并将子查询与 UNION 结合起来。需要确保所有内容都经过消毒以通过内部 Brakeman 检查,但是由于单引号,我在从虚拟列中选择值时遇到了一些问题。这是一个简化的例子:
book_sql = "SELECT 'book' AS type,id,title,author FROM books"
magazine_sql = "SELECT 'magazine' AS type,title + ' - ' + issue_number AS title,publisher AS author
FROM magazines"
full_sql = ActiveRecord::Base.sanitize_sql_array(['(?) UNION ALL (?)',book_sql,magazine_sql])
results = ApplicationRecord.connection.select_all(full_sql)
完整的 SQL 查询需要清理而不是仅仅连接在一起,否则 Brakeman 会抱怨注入,但是在子查询上调用 sanitize_sql_array
将转义我对虚拟列的单引号,转为 "SELECT 'book' AS type..."
进入 "SELECT ''book'' AS type..."
,这显然是无效的。任何建议将不胜感激!
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。