Безопасный запрос типа ActiveRecord

89

Я пытаюсь написать запрос LIKE.

Я читал, что чистые строковые запросы небезопасны, однако я не смог найти никакой документации, объясняющей, как написать безопасный LIKE Hash Query.

Является ли это возможным? Должен ли я вручную защищаться от внедрения SQL-кода?

ruby activerecord ruby-on-rails-4

— Гал Вайс
источник

Возможный дубликат Как сделать запрос LIKE в Arel и Rails?

— Педро Роло

168

Чтобы гарантировать, что ваша строка запроса будет правильно обработана, используйте массив или синтаксис хеш-запроса для описания ваших условий:

Foo.where("bar LIKE ?", "%#{query}%")

или же:

Foo.where("bar LIKE :query", query: "%#{query}%")

Если это возможно , что queryможет включать в себя %характер , то вам необходимо дезинфицировать queryс sanitize_sql_likeпервым:

Foo.where("bar LIKE ?", "%#{sanitize_sql_like(query)}%")
Foo.where("bar LIKE :query", query: "%#{sanitize_sql_like(query)}%")

— Spickermann
источник

Этого не удается избежать %в строке запроса. Это не произвольная «SQL-инъекция», но она может работать неожиданно.

— Бени Чернявский-Паскин

@ BeniCherniavsky-Paskin: В том-то и дело, вы не хотите убегать, %потому что %это часть LIKEсинтаксиса. Если вы экранировали, %то результатом будет обычный =запрос.

— spickermann

2

Правильно, ВЫ хотите использовать подстановочные знаки% в своем шаблоне шаблона, но этот шаблон параметризован queryпеременной, и во многих случаях вы хотите буквально сопоставить строку в queryпеременной, не позволяя queryиспользовать метасимволы LIKE. Давайте возьмем более реалистичный пример:% ...%: строки имеют структуру, подобную пути, и вы пытаетесь сопоставить /users/#{user.name}/tags/%. Теперь, если я сделаю свое имя пользователя fr%d%, я смогу наблюдать fredи fridaтеги ...

— Бени Чернявский-Паскин

2

Хорошо, то, что мне нужно, объединяет этот вопрос с stackoverflow.com/questions/5709887/…, который предлагает sanitize_sql_like().

— Бени Чернявский-Паскин

2

@ BeniCherniavsky-Paskin Теперь я понимаю, откуда вы, и вы правы. Я обновил свой ответ, чтобы решить эту проблему.

— spickermann

36

Используя Arel, вы можете выполнить этот безопасный и переносимый запрос:

title = Model.arel_table[:title]
Model.where(title.matches("%#{query}%"))

— Педро Роло
источник

1

Это предпочтительное решение, поскольку Arel не зависит от sql-db и имеет некоторую внутреннюю очистку ввода. Кроме того, он намного более четкий и последовательный в плане стиля кода, ИМХО.

— Эндрю Мур

Как вы это отрицаете? (т.е. НЕ НРАВИТСЯ) Model.where(title.matches("%#{query}%").not)работает, хотя сгенерированный SQL- WHERE (NOT (`models`.`title` LIKE '%foo%'))

— запрос

Аа ... нашел. Model.where(title.does_not_match("%#{query}%")). Генерирует: WHERE (`models`.`title` NOT LIKE '%foo%')

— Ноах Магедман

Осторожно - это не удается очистить %в ненадежных входных данных:

>> ActiveRecord::VERSION::STRING => "5.2.3"  >> field = Foo.arel_table[:bar]  >> Foo.where(field.matches('%')).to_sql => "SELECT `foos`.* FROM `foos` WHERE `foos`.`bar` LIKE '%'"

— vjt

@NoachMagedman или Model.where.not(title.matches("%#{query}%")). does_not_matchчитается лучше, ИМО.

— elquimista

7

Для PostgreSQL это будет

Foo.where("bar ILIKE ?", "%#{query}%")

— Хога
источник

1

Ты можешь сделать

MyModel.where(["title LIKE ?", "%#{params[:query]}%"])

— Сантош
источник

1

@mikkeljuhl Пожалуйста, внимательно посмотрите на мой ответ.

— Santhosh

1

Если кто-то выполняет поисковый запрос по вложенной ассоциации, попробуйте следующее:

Model.joins(:association).where(
   Association.arel_table[:attr1].matches("%#{query}%")
)

Для нескольких атрибутов попробуйте следующее:

Model.joins(:association).where(
  AssociatedModelName.arel_table[:attr1].matches("%#{query}%")
    .or(AssociatedModelName.arel_table[:attr2].matches("%#{query}%"))
    .or(AssociatedModelName.arel_table[:attr3].matches("%#{query}%"))
)

Не забудьте заменить AssociatedModelNameна название вашей модели

— Aarvy
источник