将日期参数传递给rails中的sql选择查询（QueryMethods）

Question

我正在使用brakeman gem（它可以识别Ruby on Rails 代码中可能存在的安全问题）。我们有一个使用连接、组和选择的范围，我需要更新查询的选择部分。这个范围看起来像下面这样。我将这里范围的内容放在产品模型上。

Product.joins('LEFT JOIN orders ON orders.product_id = products.id')
  .group('products.id')
  .select(
    "SUM(CASE WHEN orders.order_at BETWEEN '#{start_date}' AND '#{end_date}'" \
    " THEN orders.qty ELSE 0 END) as qty, products.*"
  )

现在如果我尝试像这样更改查询

Product.joins('LEFT JOIN orders ON orders.product_id = products.id')
  .group('products.id')
  .select(
    "SUM(CASE WHEN orders.order_at BETWEEN ? AND ?" \
    " THEN orders.qty ELSE 0 END) as qty, products.*",
    '#{start_date}',
    '#{end_date}'
  )

它给了我? 的语法错误我还尝试了一些其他的 group 和 have 方法，但它对我不起作用。我正在使用带有 rails 4.1.8 的 postgres sql
他们有什么办法可以做到这一点吗？提前致谢。

这是错误

PG::SyntaxError: ERROR: "?" 处或附近的语法错误
第 1 行：选择 SUM(CASE WHEN orders.order_at BETWEEN ? AND ? AND ord

Answer 1

我相信你也可以用 where 子句去掉 CASE 语句：

checkout range conditions

Product
  .joins('LEFT JOIN orders ON orders.product_id = products.id')
  .where(orders: {order_at: start_date..end_date})   # range condition
  .group('products.id')
  .select("SUM(orders.qty) as qty, products.*")

Answer 2

您使用? 语法是对的，但是您对select 的调用需要将其中一部分拆分为对where 的调用。

此外，您正在将日期转换为字符串（例如，'#{start_date}'）。这会阻止被调用的方法能够将值处理和格式化为日期。相反，只需传递原始日期（例如，start_date）。

Product
  .joins('LEFT JOIN orders ON orders.product_id = products.id')
  .where('orders.order_at BETWEEN ? AND ?', start_date, end_date)
  .select("SUM(orders.qty) as qty, products.*")
  .group('products.id')

您还可以根据 daino3 的回答 (.where(orders: {order_at: start_date..end_date})) 重做 where 呼叫。

推理

不要将参数直接嵌入where（或相关）调用中，这一点至关重要。这样做会使您的代码面临重大安全风险，称为SQL Injection，因为远程用户可能会放置任意数据字符串，从而触发对您的数据库执行的各种危险调用。

这就是为什么你应该始终使用where('various sql things ?', parameter) 而不是where("various sql things #{parameter}")。

有关将参数传递给此类 Rails sql 调用的更多信息，请查看official Rails Guide on the Active Record Query Interface。