Rails - find_by_sql - Abfrage mit mehreren Werten für ein Feld

Question

Ich habe Probleme, die Werte für die Abfrage mehrerer Werte zu einer Spalte beizutreten. Hier ist, was ich habe, so weit:

def self.showcars(cars) 
    to_query = [] 
    if !cars.empty? 
     to_query.push cars 
    end 
    return self.find_by_sql(["SELECT * FROM cars WHERE car IN (?)"]) 
end 

, dass die Abfrage in macht:

SELECT * FROM cars WHERE car IN (--- \n- \"honda\"\n- \"toyota\"\n') 

Es scheint find_by_sql sql_injection Schutz die zusätzlichen Zeichen hinzufügt. Wie bekomme ich das zum Laufen?

Answer 1

Versuchen Sie, das to_query-Array in eine durch Kommas getrennte Zeichenfolge mit allen Werten in einfachen Anführungszeichen zu verknüpfen und diese Zeichenfolge dann als Parameter "?" Zu übergeben.

Answer 2

Benötigen Sie wirklich find_by_sql? Da Sie eine SELECT * Leistung erbringt, und vorausgesetzt, Ihre Methode auf dem Car Modell befindet, wäre ein besserer Weg:

class Car < ActiveRecord::Base 
    def self.showcars(*cars) 
    where('car in :cars', :cars => cars) 
    # or 
    where(:car => cars) 
    end 
end 

Notiere die * direkt nach der Parametername ... Verwenden Sie es und Sie werden nicht brauchen Code schreiben, um einen einzelnen Parameter zu einem Array zu machen.

Wenn Sie wirklich find_by_sql brauchen, versuchen Sie es auf diese Weise zu schreiben:

def self.showcars(*cars) 
    find_by_sql(['SELECT * FROM cars where car in (?)', cars]) 
end 

Answer 3

Problem zu lösen.

def self.average_time(time_init, time_end) 

    query = <<-SQL 
       SELECT COUNT(*) FROM crawler_twitters AS twitter WHERE CAST(twitter.publish AS TIME) BETWEEN '#{time_init}' AND '#{time_end}' 
        GROUP BY user) AS total_tweets_time; 
    SQL 

    self.find_by_sql(sanitize_sql(query)) 
    end