Rails：使用named_scope触发MySQL“in”

Question

问题：

我想运行一个查询，该查询会触发诸如

select * from users where code in (1,2,4);

使用named_scope之类的操作。

---

我尝试过的内容：

这是针对单个代码的：

named_scope :of_code, lambda {|code| {:conditions => ["code = ?", code]}}

我尝试了类似的操作

named_scope :of_codes, lambda {|codes| {:conditions => ["code in ?", codes]}}

并发送了

user.of_codes('(1,2,4)')

触发器 select * from users where code in '(1,2,4)' 由于额外的引号，这会引发 MySQL 错误。

PS： 理想情况下我想发送 user.of_codes([1,2,4])

Answer 1

这将起作用，只是找到而不会让您遭受 SQL 注入攻击：

named_scope :of_codes, lambda { |codes|
  { :conditions => ['code in (?)', codes] }
}

User.of_codes([1, 2, 3])
# executes "select * from users where code in (1,2,3)"

如果您想要更狡猾一点，您可以这样做：

named_scope :of_codes, lambda { |*codes|
  { :conditions => ['code in (?)', [*codes]] }
}

然后您可以使用 Array 来调用它（如上所述） ：User.of_codes([1, 2, 3])，或使用代码参数列表：User.of_codes(1, 2, 3)。

Answer 2

最简单的方法是使用散列作为条件而不是数组：

named_scope :of_codes, lambda { |*codes| { :conditions => { :code => codes } } }

这将按预期工作。

User.of_codes(1, 2, 3) # => SELECT ... code IN (1,2,3)
User.of_codes(1) # => SELECT ... code IN (1)

Answer 3

您可以尝试以下

named_scope :of_codes, lambda {|codes| {:conditions => ["code in "+codes]}}

并

user.of_codes('(1,2,4)')

编辑 SQL INJECTION PROBLEM USE

named_scope :of_codes, lambda {|codes| {:conditions => ["code in (?) ", codes]}}

和

user.of_codes([1,2,4])