Убедитесь, мой SQL не впрыскивается получать массив значений

Question

мне нужно получить массив значений как:

['restaurant'] 
['restaurant', 'pharmacy'] 

Я хотел бы, какой подход предпринять, чтобы гарантировать, что, когда я использую это:

SELECT * FROM places WHERE type IN (array_joined_with_commas_and_quotes) 

Я не получаю инъекции.

Я пишу предложение без какой-либо библиотеки, и я работаю в Rails.

У меня нет активной записи, я делаю postgis-запрос на внешний сервер.

Answer 1

Как насчет использования функций ActiveRecord для построения запросов? Если вы используете рельсы, драгоценный камень все еще должен быть там.

Place.where(:type => ['foo', 'bar']).to_sql 

Answer 2

У вас есть два основных подхода (используя для параметризации в этих примерах?).

Если это массив, то ваш ['restaurant', 'pharmacy'] становится '{"restaurant","pharmacy"}', а затем вы можете:

SELECT * FROM places WHERE type = ANY (?); 

Вы также можете

SELECT * FROM places WHERE type IN (? ....); 

Динамическая генерация числа параметров, как вы идете. Поскольку упомянутые вами звуковые сигналы могут быть активированы, вы можете автоматизировать это для вас. Дело в том, что эти методы отправляют данные отдельно от запроса, а это значит, что SQL не может быть введен в запрос.