我正在尝试以编程方式编写 .where() 子句。
看起来像
Post.where("description ?", @composite)
其中@composite 是之前构造的字符串。它可能类似于= 'ABCD' 或IS LIKE 'ABCD' 等。
问题在于生成的 SQL 始终是单引号。例如：
Post Load (0.2ms) SELECT `posts`.* FROM `posts` WHERE (description 'IS LIKE "ABCD"')
有没有办法“取消引用”它？
【问题讨论】：
标签： sql ruby-on-rails where-clause quotes composition
= 和 IS LIKE 不应是您传入的字符串的一部分。
它被单引号引用，因为这正是 ? 所做的：SQL 安全引用。
如果您想自己完全构建 SQL，那么就这样做，例如，
Post.where("description #{@composite}")
您需要自己清理字符串，这很容易，因为大概您正在使用输入构造 = 或 IS LIKE 部分。
【讨论】：
Post.where("description #{@composite}") 不适合 SQL 注入。
? 明确保护输入值。如果您不打算使用内置机制，则需要自己保护它。
使用这个：
Post.where("description #{@composite}")
【讨论】：