0

Railsで検索機能を作りたいと思っているのですが、ハマってしまっているのでご教授賜りたく思います。
Railsで ArticleとItemというモデルがあり、Itemの中にはURLカラムがあり、そのURLをもとに検索を部分一致検索をかけられる検索フォームを作りたいと思っています。
現状は@items = Item.where("url like %#{params[:search]}").uniqでフォームに入力されたパラメーター(:search)をもとにlikeで含む検索を可能にしています。
ここまではできているのですが、ここからItemに紐付いたArticleのレコードを引っ張りたいのですが、方法が思い浮かびません。ArticleとItemはItemにarticle_idがAricleのidと紐付いています。

3 件の回答 3

4

joinsを使えば関連するテーブルに対する検索を実行できます。

が、文字列に直接パラメータを埋め込むとSQLインジェクションを引き起こすので大変危険です。
次のように?を使ってバインドするようにしてください。

articles = Article.joins(:items).where("items.url LIKE ?", "%#{params[:search]}").uniq

SQLインジェクションはこちらに詳しい説明があります。

Rails セキュリティガイド | Rails ガイド

P.S.

余談ですが、SQLインジェクションが何かを理解していると以下の4コママンガの面白さが理解できるようになります。

xkcd: Exploits of a Mom

画像の説明をここに入力

翻訳

  1. 「もしもし。息子さんの小学校の者です。ちょっと今コンピュータトラブルが発生しています。」
  2. 「あら、たいへん。息子が何か壊したんでしょうか?」「ある意味そうですね。。」
  3. 「お母さん、あなたは本当に息子さんに "Robert'); DROP TABLE Students; --" という名前を付けたんでしょうか?」「ええ。私たちは "ボビーテーブルちゃん" って呼んでます。」
  4. 「とりあえず、我々は今年度の生徒データを喪失しました。あなたにとっては、してやったりでしょうね。」「それといい勉強になったかしら。データベースの入力値はサニタイズすべきだって。」

追記

Rails 4.2だとsanitize_sql_likeというメソッドが使えます。
使い方はこんな感じです。

class Article < ActiveRecord::Base
  has_many :items
  scope :keyword_search, ->(keyword) {
    joins(:items).where("items.url LIKE ?", "%" + sanitize_sql_like(keyword))
  }
end

# controller
articles = Article.keyword_search(params[:search])

LIKE検索では'%'や'_'が特殊な意味を持ちます。
sanitize_sql_likeを使うと、こうした文字列をエスケープしてくれます。

例: '100%'というキーワードが入力された場合のSQL

SELECT ... WHERE (items.url LIKE '%100\%')
1

まず、

where("url like %#{params[:search]}")

はいろいろまずいのでそこを直します。まず根本的なところで検索文字列がリテラルになっていないのでもとのコードはきっと

where("url like '%#{params[:search]}'")

だったのでしょう。で、これには

  • SQLインジェクションが可能
  • 検索キー中に%や_があった時にLIKEのワイルドカードとして扱われる

という結構重大な問題があるので、Arelを使ってこう書きかえます。

search_key = "%" + params[:search].gsub(/[%_]/, "\\\\\0")
Item.where(Item.arel_table[:url].matches(search_key, "\\"))

これで上記の問題は無くなります。ただし、Railsが古いと、#matchesが第二引数をサポートしていないかもしれません。そのときは

Item.where(%q!"items.url" LIKE ? ESCAPE '\\'!, search_key)

でお茶を濁します。joinsなどを使った場合にカラム名の重複が起きてエラーになることがあるので、カラム名はテーブル修飾をしておいた方がいいです。

その上で本題ですが、検索対象の主眼はどちらでしょうか。

Itemを検索したい。検索されたItemから関連するArticleも参照したい

Itembelongs_to :articleのリレーションを追加しておきます。

@item = Item.where(...)
@items[0].article

でarticleを参照します。

Itemの要素を使ってArticleを検索したい

Articlehas_many :itemsのリレーションを追加しておきます。

Article.joins(:items).where(...).uniq

もとのコードの#uniqはあまり意味が無かったのですが、この場合は#uniqを付けておかないと、同じarticle_idを持つItemが複数あった場合にArticleが重複して結果に出てきます。

0

モデルには以下のようにhas_many :itemsが定義されているとします

class Article < ActiveRecord::Base
  has_many :items
end

class Item < ActiveRecord::Base
end

その時joinsを利用することで実現できます

articles = Article.joins(:items).where("items.url like '%#{params[:search]}'").uniq

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。