はじめに
Ruby on Railsでは、ActiveRecordにより直接SQLクエリを書くことなくデータベースの操作が可能です。しかし、特定の条件下での柔軟なデータ操作を行うためには、SQL文を直接実行する必要があります。このとき、ActiveRecord::Base.connection.executeメソッドが非常に役立ちます。今回はこのメソッドの使い方と、使う上での注意点を見ていきます。
ActiveRecord::Base.connection.execute の基本
このメソッドは、与えられた生のSQL文をデータベースに直接送信し、実行します。これにより、データの挿入（INSERT）、更新（UPDATE）、削除（DELETE）など、あらゆる種類のSQLを実行することができます。
使用例：ユーザーの最終ログイン時間の更新
sql = "UPDATE users SET last_login = CURRENT_TIMESTAMP WHERE id = 1"
ActiveRecord::Base.connection.execute(sql)このコードは、データベース内の特定のユーザー（idが1のユーザー）のlast_loginフィールドを現在のタイムスタンプに更新することを行います。このようにexecute メソッドは、任意のSQL文を直接実行することができます。
注意点：SQL インジェクションのリスク
直接SQL文を実行する際、SQLインジェクションのリスクが伴います。この問題は、外部からの入力が適切にサニタイズされずに SQL文に組み込まれた場合に発生します。以下のようなコードは、このリスクを示しています：
sql = "UPDATE users SET last_login = CURRENT_TIMESTAMP WHERE id = 1"
ActiveRecord::Base.connection.execute(sql)この例では、ユーザー入力がそのまま SQL文に組み込まれており、悪意のあるユーザーが SQLインジェクション攻撃を試みる可能性があります。
安全なコードの書き方
SQL インジェクションを防ぐためには、ユーザー入力を適切にサニタイズするか、パラメータ化されたクエリを使用することが重要です。Railsでは、以下のように安全なクエリを作成することが推奨されます。
user_input = params[:id]
sql = ActiveRecord::Base.send(:sanitize_sql_array, ["UPDATE users SET last_login = CURRENT_TIMESTAMP WHERE id = ?", user_input])
ActiveRecord::Base.connection.execute(sql)この例では、sanitize_sql_arrayメソッドを使用して、ユーザー入力を安全にSQL 文に組み込んでいます。このメソッドは、ユーザー入力を適切にエスケープし、SQL インジェクション攻撃を防ぎます。
まとめ
ActiveRecord::Base.connection.executeは生の SQL文を実行することができるため柔軟なデータ処理ができる一方で、安全に使用するために外部からの入力を直接このメソッドに渡さず適切なサニタイズ処理を行うなどの注意点が必要です。このメソッドは特定のデータベース操作を直接的に行うための便利なツールですが、使用する際はセキュリティを常に意識する必要があります。
コメント