Rails 4 COMME query - ActiveRecord ajoute des guillemets

Je suis en train de faire une requête comme

def self.search(search, page = 1 )
  paginate :per_page => 5, :page => page,
    :conditions => ["name LIKE '%?%' OR postal_code like '%?%'", search, search],   order => 'name'
end

Mais lorsqu'il est exécuté quelque chose est l'ajout de citations qui provoque l'instruction sql à sortir comme

SELECT COUNT(*)
FROM "schools" 
WHERE (name LIKE '%'havard'%' OR postal_code like '%'havard'%')):

De sorte que vous pouvez voir mon problème.
Je suis à l'aide de Rails 4 et Postgres 9 fois dont je n'ai jamais utilisé, donc pas sûr si son et une activerecord chose ou peut-être un postgres chose.

Comment puis-je le configurer j'ai donc comme '%my_search%' à la fin de la requête?

InformationsquelleAutor Harry Forbess | 2013-09-30
  1. 209

    Votre espace réservé est remplacé par une chaîne et que vous n'êtes pas de la manipulation de ce droit.

    Remplacer

    "name LIKE '%?%' OR postal_code LIKE '%?%'", search, search

    avec

    "name LIKE ? OR postal_code LIKE ?", "%#{search}%", "%#{search}%"
    • N'est-ce pas vulnérable à une Injection SQL? Je veux dire, sont ceux search chaînes désinfectés?
    • le ? dans le où prendra soin de désinfection
    • les instances de % et _ à l'intérieur de search ne sera pas aseptisée, en vertu de cette approche.
    • Lors de l'utilisation de '?' dans cette voie en rails, il est converti à une requête paramétrée. Les données dans le paramètre n'est pas aseptisé (le %), mais il est impossible de modifier le contexte de la requête et de la transformer en traité SQL.
    InformationsquelleAutor rb512
  2. 49

    Au lieu d'utiliser le conditions la syntaxe à partir de Rails 2, l'utilisation de Rails 4 where plutôt la méthode:

    def self.search(search, page = 1 )
  wildcard_search = "%#{search}%"

  where("name ILIKE :search OR postal_code LIKE :search", search: wildcard_search)
    .page(page)
    .per_page(5)
end

    REMARQUE: le ci-dessus utilise la syntaxe de paramètre au lieu de ? espace réservé: ces deux devrait produire les mêmes sql.

    def self.search(search, page = 1 )
  wildcard_search = "%#{search}%"

  where("name ILIKE ? OR postal_code LIKE ?", wildcard_search, wildcard_search)
    .page(page)
    .per_page(5)
end

    REMARQUE: l'utilisation de ILIKE pour le nom - postgres casse la version de COMME

    InformationsquelleAutor house9
  3. 21

    Tandis que la chaîne d'interpolation de travail, comme votre question précise rails 4, vous pourriez être en utilisant Arel pour cela et de garder votre application de base de données agnostique.

    def self.search(query, page=1)
  query = "%#{query}%"
  name_match = arel_table[:name].matches(query)
  postal_match = arel_table[:postal_code].matches(query)
  where(name_match.or(postal_match)).page(page).per_page(5)
end
    • Faut vraiment être facile de créer un func pour le faire dynamiquement avec une liste d'attributs
    • Non testé, mais il pourrait être quelque chose comme ceci: champ d'application search_attributes, ->(requête, attributs){ arel_attributes = attributs.carte{|un| arel_table[a]} arel_queries = arel_attributes.carte{|a| un.correspond à(requête)} retourner là d'où(arel_queries.réduire{|res,q| res.ou q}) }
    InformationsquelleAutor numbers1311407
  4. 7

    ActiveRecord est assez intelligent pour savoir que le paramètre visé par le ? est une chaîne de caractères, et donc, il l'enferme dans des guillemets simples. Vous pourrait comme un post suggère l'utilisation de Ruby chaîne d'interpolation de tampon de la chaîne avec le % symboles. Toutefois, cela pourrait vous exposer à des injections de code SQL (ce qui est mauvais). Je vous suggère d'utiliser le SQL CONCAT() fonction de préparer la chaîne comme suit:


    "name LIKE CONCAT('%',?,'%') OR postal_code LIKE CONCAT('%',?,'%')", search, search)

    • J'ai juste mis en œuvre dans une application et il a très bien fonctionné. Merci John.
    InformationsquelleAutor John Cleary
  5. 5

    Essayer

     def self.search(search, page = 1 )
    paginate :per_page => 5, :page => page,
      :conditions => ["name LIKE  ? OR postal_code like ?", "%#{search}%","%#{search}%"],   order => 'name'
  end

    Voir le docs sur AREL conditions pour plus d'info.

    InformationsquelleAutor tihom
  6. -1
    .find(:all, where: "value LIKE product_%", params: { limit: 20, page: 1 })
    InformationsquelleAutor Jeff