如何在Ruby中插入或更新之前转义字符串

Question

在ruby中ActiveRecord不提供动态绑定更新和插入sqls，当然我可以使用原始sql，但是需要维护连接，所以我想知道是否有更简单的方法来逃避更新或插入sql之前执行下面的代码：

ActiveRecord::Base.connection.insert(sql)

我想我可以用gsub编写代码，但我知道是否有一个现成的方法来做到这一点。

Answer 1

在Rails> = 3.2.5中，以下内容适用于我：

evil_input = '"\';%#{}\"foo'
ActiveRecord::Base.connection.quote(evil_input)
=> "'\"'';%\#{}\\\"foo'"

Answer 2

你可以这样做：

ActiveRecord::Base.send(:sanitize_sql,["select * from my_table where description='%s' and id='%s'","mal'formed", 55], "my_table")

当然，这意味着您可以单独使用params。 不确定它是否会起作用，但试试看。

Answer 3

你要求的并不是很明确，因为你的标题谈到在插入或更新之前转义字符串，然后在标签中谈论SQL注入。

如果您需要在插入或更新之前让ActiveRecord自动编码/修改内容，您是否检查过ActiveRecord的回调 ？ 执行更新或创建时，将触发before_save回调。 如果您想在存储之前修改内容，那么这是一个很好的做法。

如果要使用SQL参数而不是将变量插入“update”或“insert”语句以避免SQL注入，则使用AR的变量绑定 。 向下滚动到“条件”部分。