Railsで検索機能を作りたいと思っているのですが、ハマってしまっているのでご教授賜りたく思います。
Railsで ArticleとItemというモデルがあり、Itemの中にはURLカラムがあり、そのURLをもとに検索を部分一致検索をかけられる検索フォームを作りたいと思っています。
現状は@items = Item.where("url like %#{params[:search]}").uniq
でフォームに入力されたパラメーター(:search)をもとにlikeで含む検索を可能にしています。
ここまではできているのですが、ここからItemに紐付いたArticleのレコードを引っ張りたいのですが、方法が思い浮かびません。ArticleとItemはItemにarticle_idがAricleのidと紐付いています。
3 件の回答
joinsを使えば関連するテーブルに対する検索を実行できます。
が、文字列に直接パラメータを埋め込むとSQLインジェクションを引き起こすので大変危険です。
次のように?を使ってバインドするようにしてください。
articles = Article.joins(:items).where("items.url LIKE ?", "%#{params[:search]}").uniq
SQLインジェクションはこちらに詳しい説明があります。
P.S.
余談ですが、SQLインジェクションが何かを理解していると以下の4コママンガの面白さが理解できるようになります。
翻訳
- 「もしもし。息子さんの小学校の者です。ちょっと今コンピュータトラブルが発生しています。」
- 「あら、たいへん。息子が何か壊したんでしょうか?」「ある意味そうですね。。」
- 「お母さん、あなたは本当に息子さんに "Robert'); DROP TABLE Students; --" という名前を付けたんでしょうか?」「ええ。私たちは "ボビーテーブルちゃん" って呼んでます。」
- 「とりあえず、我々は今年度の生徒データを喪失しました。あなたにとっては、してやったりでしょうね。」「それといい勉強になったかしら。データベースの入力値はサニタイズすべきだって。」
追記
Rails 4.2だとsanitize_sql_like
というメソッドが使えます。
使い方はこんな感じです。
class Article < ActiveRecord::Base
has_many :items
scope :keyword_search, ->(keyword) {
joins(:items).where("items.url LIKE ?", "%" + sanitize_sql_like(keyword))
}
end
# controller
articles = Article.keyword_search(params[:search])
LIKE検索では'%'や'_'が特殊な意味を持ちます。
sanitize_sql_likeを使うと、こうした文字列をエスケープしてくれます。
例: '100%'というキーワードが入力された場合のSQL
SELECT ... WHERE (items.url LIKE '%100\%')
まず、
where("url like %#{params[:search]}")
はいろいろまずいのでそこを直します。まず根本的なところで検索文字列がリテラルになっていないのでもとのコードはきっと
where("url like '%#{params[:search]}'")
だったのでしょう。で、これには
- SQLインジェクションが可能
- 検索キー中に%や_があった時にLIKEのワイルドカードとして扱われる
という結構重大な問題があるので、Arelを使ってこう書きかえます。
search_key = "%" + params[:search].gsub(/[%_]/, "\\\\\0")
Item.where(Item.arel_table[:url].matches(search_key, "\\"))
これで上記の問題は無くなります。ただし、Railsが古いと、#matches
が第二引数をサポートしていないかもしれません。そのときは
Item.where(%q!"items.url" LIKE ? ESCAPE '\\'!, search_key)
でお茶を濁します。joins
などを使った場合にカラム名の重複が起きてエラーになることがあるので、カラム名はテーブル修飾をしておいた方がいいです。
その上で本題ですが、検索対象の主眼はどちらでしょうか。
Item
を検索したい。検索されたItem
から関連するArticle
も参照したい
Item
にbelongs_to :article
のリレーションを追加しておきます。
@item = Item.where(...)
@items[0].article
でarticleを参照します。
Item
の要素を使ってArticle
を検索したい
Article
にhas_many :items
のリレーションを追加しておきます。
Article.joins(:items).where(...).uniq
もとのコードの#uniq
はあまり意味が無かったのですが、この場合は#uniq
を付けておかないと、同じarticle_id
を持つItem
が複数あった場合にArticle
が重複して結果に出てきます。
モデルには以下のようにhas_many :items
が定義されているとします
class Article < ActiveRecord::Base
has_many :items
end
class Item < ActiveRecord::Base
end
その時joins
を利用することで実現できます
articles = Article.joins(:items).where("items.url like '%#{params[:search]}'").uniq