转义 ' 在 Ruby 字符串中，不转义 \ 以插入 MySQL

Question

我有一个 Ruby 格式的字符串："Henry's string"

我尝试过的每个gsub 和tr 都会给我提供"Henry\\'s string"、"Henry\\\\'s string" 等形式。

这些都转义了反斜杠，但给我留下了一个未转义的单引号。

我试过了：

• "Henry's string".gsub("'","\\\\'") 具有不同数量的 \

• "Henry's string".gsub(/'/) {|x| "\\\\#{x}"} 再次使用不同数量的 \

• "Henry's string".gsub(/'/) {|x| "\\#{x}"}.gsub(/\\/) {|x| "#{x}"}

我想我需要奇数个 \ 才能完全转义 '（以便加载到 MySQL），但我不知道如何得到它。

Answer 1

在向 MySQL 等数据库插入数据时，务必使用带有占位符值的预准备语句。我把它用粗体表示，因为理解它非常重要。只需要一点点失误，您就创建了一个SQL injection hole，任何人都可以利用，这些都可能造成极大的破坏。

转义字符串可能看起来很简单，但事实并非如此。您需要掩盖很多古怪的边缘情况，其中的细节过于复杂，无法在简短的回答中提及。

简单的解决方案是根本不用转义，而是编写这种形式的查询：

INSERT INTO table_name (column_name) VALUES (?)

? 代表您要插入的数据。例如，您可以将它们与 mysql2 driver 一起使用，如下所示：

stmt = @client.prepare("INSERT INTO table_name (column_name) VALUES (?)")
stmt.execute("Henry's string")

该驱动程序将负责正确编码值的位置，因此您不必担心。

您还可以使用Sequel 或ActiveRecord 之类的东西，进一步简化事情。