使用字符串插值、字符串连接符"+"和sprintf方法进行SQL拼接，避免SQL注入风险。
在Ruby语言中，可以使用以下几种技巧来拼接SQL语句：
1、使用字符串连接符（+）拼接字符串：
sql = "SELECT * FROM users WHERE name = '" + name + "' AND age = " + age.to_s
2、使用字符串插值（<<）拼接字符串：
sql = "SELECT * FROM users WHERE name = '#{name}' AND age = #{age}"
3、使用字符串模板（%）拼接字符串：
sql = %{SELECT * FROM users WHERE name = '#{name}' AND age = #{age}}
4、使用数组拼接字符串：
sql = ["SELECT * FROM users", "WHERE name = '#{name}'", "AND age = #{age}"].join(" ")
5、使用数组拼接字符串并添加参数占位符：
sql = ["SELECT * FROM users", "WHERE name = :name", "AND age = :age"].join(" ")
params = {name: name, age: age}
6、使用ActiveRecord的sanitize_sql_like方法拼接SQL语句：
sql = User.where("name LIKE ?", "%#{name}%").to_sql
7、使用ActiveRecord的sanitize_sql_array方法拼接SQL语句：
sql = User.where(["name LIKE :name OR email LIKE :email", {name: "%#{name}%", email: "%#{email}%"}]).to_sql
8、使用ActiveRecord的sanitize_sql_identifier方法拼接SQL语句：
sql = User.where("users.name LIKE :name OR users.email LIKE :email", {name: "%#{name}%", email: "%#{email}%"}).to_sql
原创文章，作者：K-seo，如若转载，请注明出处：https://www.kdun.cn/ask/496330.html
微信扫一扫 