使用Javascript查询生成器时防止Rails中的SQL注入

Question

我想将jQuery查询生成器用作多用户应用程序中的工具： http : //mistic100.github.io/jQuery-QueryBuilder/

我知道，如果安装不正确，使用这种工具可能会带来很大的SQL注入风险。

我知道防止SQL注入的传统方法（即，对WHERE语句进行硬编码，而不是直接在其中插入用户输入的字符串），但是在这种情况下，鉴于我们正在尝试的动态和灵活性，这将变得有些困难保持东西。

我想知道是否有使用这种查询生成器之类的方法来设置安全过程的简便方法。 主要关注的是一个用户能够访问和/或修改另一个用户的记录（我不太担心他们会打乱他们自己的记录，但是他们都在同一个数据库中）。

我的一个想法是查找并替换所有有问题的单词（例如DROP等），但是我知道这会限制用户输入（即如果他们想搜索与“他丢下球”匹配的记录）。 ..也可能不是万无一失的。

除了必须使用某种复杂的算法进行编码以生成SQL代码服务器端之外，还有其他可行的方法吗？

Answer 1

通常，您应该只在索引的GET请求上接受真正的“过滤”参数。 即使这样，您也不想随意地将所有参数都放入WHERE子句中。

如果要让用户创建复杂的条件，则可以创建一个简单的解析器，该解析器接受用户输入并通过Arel构建SQL语句。

或者，您可能想使用现有的引擎进行全文搜索，例如Lucene。