Rails ActiveRecord在join子句中的轉義變量

Question

此查詢有效，但對SQL注入完全開放：

products = Product.find(pids,
  :select => 'products.*, P.code',
  :joins => "left join product_dist_match P on
    (P.pid = products.pid and P.cid = #{cid})",
)

我怎樣才能正確地逃避cid變量？ conditions參數允許格式['foo = ?', bar]用於此目的，但joins不允許。

我不想使用find_by_sql因為那時我需要添加連接和條件，它們是模型默認范圍的一部分（不會是DRY）。

編輯：我的表結構基本上是這樣的：

products: pid (primary key)
product_dist_match: pid, cid, code
customers (not used in the query): cid (primary key)

請注意，這是一個只讀數據庫，Rails只有有限的參與。 我不打算為所有表格設置模型; 我只想進行如上所述的簡單查詢，而不會讓自己暴露於SQL注入攻擊。

Answer 1

我找到的答案是在模型上使用.sanitize方法：

products = Product.find(pids,
  :select => 'products.*, P.code',
  :joins => 'left join product_dist_match P on
    (P.pid = products.pid and P.cid = ' + Product.sanitize(cid) + ')',
)

如果您找到更好的解決方案，請發布！

Answer 2

這似乎是你想要做的更多。

products = Product.find(pids,
    :select => 'products.*, P.code',
    :joins => sanitize_sql_array [
      'left join product_dist_match P on P.pid = products.pid and P.cid = ?', 
       cid
    ]