使用 Rails 中的引号清理原始 SQL 查询

问题描述

我正在尝试编写几个原始 sql 查询并将子查询与 UNION 结合起来。需要确保所有内容都经过消毒以通过内部 Brakeman 检查，但是由于单引号，我在从虚拟列中选择值时遇到了一些问题。这是一个简化的例子：

book_sql = "SELECT 'book' AS type,id,title,author FROM books"

magazine_sql = "SELECT 'magazine' AS type,title + ' - ' + issue_number AS title,publisher AS author
                FROM magazines"

full_sql = ActiveRecord::Base.sanitize_sql_array(['(?) UNION ALL (?)',book_sql,magazine_sql])

results = ApplicationRecord.connection.select_all(full_sql)

完整的 sql 查询需要清理而不是仅仅连接在一起，否则 Brakeman 会抱怨注入，但是在子查询上调用 sanitize_sql_array 将转义我对虚拟列的单引号，转为 "SELECT 'book' AS type..."进入 "SELECT ''book'' AS type..."，这显然是无效的。任何建议将不胜感激！

解决方法

暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！

如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。

小编邮箱:dio#foxmail.com (将#修改为@）