ruby on rails為oracle視圖/函數准備的語句

Question

我有以下代碼，該代碼執行如下的oracle視圖：

def run_query
    connection.exec_query(
      "SELECT * FROM TABLE(FN_REQRESP(#{type_param},
                                      #{search_type_param},
                                      #{tid_param},
                                      #{last_param},
                                      #{key_param},
                                      #{tran_id_param},
                                      #{num_param},
                                      #{start_date_param},
                                      #{end_date_param}))")
end

以上查詢的輸出如下：

SELECT * FROM TABLE(FN_REQRESP('ALL',
 'ALL_TRAN',
 '100007',
 '',
 '',
 '',
 '',
 TO_DATE('27-January-2017','dd-MON-yy'),
 TO_DATE('31-January-2017','dd-MON-yy'))) 

問題在於上述查詢具有SQL注入漏洞。

因此，我嘗試添加一個prepare語句，如下所示：

 connection.exec_query('SELECT * FROM TABLE(FN_REQRESP(?,?,?,?,?,?,?,?,?))','myquery',[type_param,search_type_param,tid_param,last_param,key_param,tran_id_param,num_param,start_date_param,end_date_param])

我現在收到以下錯誤：

NoMethodError：“'ALL'”的未定義方法“ type”：字符串：SELECT * FROM TABLE（FN_REQRESP（？，？，？，？，？，？，？，？，？））

我相信這是單引號。 有辦法克服嗎？

編輯：我嘗試了NDN的答案和以下錯誤：

OCIError: ORA-00907: missing right parenthesis: SELECT * FROM TABLE(FN_REQRESP('\'ALL\'',
                                      '\'ALL_TRAN\'',
                                      '\'100007\'',
                                      '\'\'',
                                      '\'\'',
                                      '\'\'',
                                      '\'\'',
                                      'TO_DATE(\'01-February-2017\',\'dd-MON-yy\')',
                                      'TO_DATE(\'10-February-2017\',\'dd-MON-yy\')'))

Answer 1

從源頭來看， binds會以某種神奇的方式進行轉換，並且您還必須傳遞一個命名的prepare: true參數。

在舊版本中，它的工作方式也有所不同。

---

為了避免麻煩，您只需使用#sanitize ：

params = {
  type:        type_param,
  search_type: search_type_param,
  tid:         tid_param,
  last:        last_param,
  key:         key_param,
  tran_id:     tran_id_param,
  num:         num_param,
  start_date:  start_date_param,
  end_date:    end_date_param,
}

params.each do |key, param|
  params[key] = ActiveRecord::Base.sanitize(param)
end

connection.exec_query(
  "SELECT * FROM TABLE(FN_REQRESP(#{params[:type]},
                                  #{params[:search_type]},
                                  #{params[:tid]},
                                  #{params[:last]},
                                  #{params[:key]},
                                  #{params[:tran_id]},
                                  #{params[:num]},
                                  #{params[:start_date]},
                                  #{params[:end_date]}))"
)

Answer 2

這稱為准備語句。 在doc中，您可以找到如何使用它的示例。