ActiveRecord：SQL注入阻力wheres

Question

我想構建一個微型引擎，將允許通過用戶輸入在飛行中建立一個搜索查詢。我得到的列名，並在PARAMS搜索字符串，讓我們假設：

params = {:filter_column => "column_name", :filter_string => "search term"} 

我知道，如果我只是調用一個標準的排序，其中對我的模型，可以將沿着線：

ModelName.where("column_name LIKE ?", params[:filter_string]) 

我遇到的問題是我試圖編譯我的過濾器列表，然後將它們一次應用於搜索。在我調用where方法之前，我可以建立where字符串嗎？

我已經試過：

ModelName.where("? LIKE ? ", column_name, search_term) 

沒有多少運氣。任何提示，提示或指針？

謝謝！

Answer 1

你可能想嘗試使用Metawhere Gem

我是一個解決方案想是這樣的：

Model.where(params[:filter_column].intern.matches => params[:filter_string]) 

，你可以建立在它自己的病情每一個順序用逗號或後續調用分離s到哪裏。

Answer 2

如果只有你可以改變的column_name的內容（即沒有注射的風險）有沒有危害，使用

ModelName.where("`#{column_name}` LIKE ?", search_term)