Uciekając pojedynczy cytat z zapytania SQL

Question

Mam tabelę companies, która ma dwie kolumny o nazwach name i address. Uruchamiając poniższy kod, nowe dane są wstawiane do tabeli:

my_name = "my company name" 
my_address = "ABC" 

query = "INSERT INTO companies (name,address) VALUES ('#{my_name}','#{my_address}');" 

ActiveRecord::Base.connection.execute(query); 

Jeśli zmienię my_name wartość z "my company name" do "John's company", będę się błąd składni. To dlatego, że zapytanie się:

"INSERT INTO companies (name,address) VALUES ('John's company','ABC');" 

i 'John's company' ma pojedynczy cudzysłów wewnątrz niej.

Biorąc pod uwagę, że już użyłem podwójnego cudzysłowu do definicji ciągu zapytania, jak mogę pozbyć się tego błędu dotyczącego pojedynczego cudzysłowu w mojej wartości?

Answer 1

Jeśli musisz zrobić to w ten sposób, a następnie użyć quote method na obiekcie gra:

ofertowe (wartość, kolumna = nil)
Cytaty wartość kolumny, aby zapobiec atakom SQL injection.

Więc coś takiego:

my_name = ActiveRecord::Base.connection.quote("John O'Neil") 
my_address = ActiveRecord::Base.connection.quote("R'lyeh") 

query = "INSERT INTO companies (name,address) VALUES (#{my_name}, #{my_address})" 

ActiveRecord::Base.connection.execute(query); 

Nigdy nie próbować obsługiwać własne cytowania. I nie próbuj używać podwójnych cudzysłowów do cytowania literału SQL, do czego służą pojedyncze cytaty; podwójne cudzysłowy służą do cytowania identyfikatorów (takich jak nazwy tabel i kolumn) w większości baz danych, ale MySQL używa do tego odsyłaczy.