Rails 7.2升级后find_by符号参数插值失效问题排查

问题场景 #

将Rails应用从7.1.3.2升级到7.2.1后，原有的参数化查询代码触发PostgreSQL语法错误：

ControlPlan.find_by("code = :code AND validity_dates @> date :date",
                    code: hash_params[:control_plan_code],
                    date: hash_params[:inspection_started_on])

控制台测试显示：直接写死日期字符串的查询能正常执行，但使用符号参数时，即便to_sql生成的SQL看起来正常，实际执行时会报错：

-- 实际执行的占位符SQL（触发错误）
SELECT "control_plans".* FROM "control_plans" WHERE (validity_dates @> date $1)
-- 错误信息：PG::SyntaxError: ERROR:  syntax error at or near "$1"

目前临时用字符串拼接日期的方式能运行，但存在SQL注入风险，希望保留安全的参数化写法。

问题原因 #

Rails 7.2对参数化查询的处理更严格：参数会被替换为PostgreSQL的占位符（如$1），而PostgreSQL语法不支持date $1这种写法——date作为类型转换关键字，不能直接跟占位符，必须通过显式类型转换语法处理。

在Rails 7.1中，参数可能被直接插值为字符串（如date '2020-12-24'），刚好避开语法问题，但这种行为不符合参数化查询的规范，7.2的调整是更安全、合规的做法。

正确的参数化写法 #

1. 用CAST函数显式转换类型 #

ControlPlan.find_by(
  "code = :code AND validity_dates @> CAST(:date AS date)",
  code: hash_params[:control_plan_code],
  date: hash_params[:inspection_started_on]
)

2. 用PostgreSQL类型转换操作符:: #

ControlPlan.find_by(
  "code = :code AND validity_dates @> :date::date",
  code: hash_params[:control_plan_code],
  date: hash_params[:inspection_started_on]
)

3. 利用ActiveRecord自动类型转换（推荐） #

如果hash_params[:inspection_started_on]已经是Date类型对象，直接去掉SQL中的date关键字，ActiveRecord会自动处理类型映射：

ControlPlan.find_by(
  "code = :code AND validity_dates @> :date",
  code: hash_params[:control_plan_code],
  date: hash_params[:inspection_started_on]
)

4. 用Arel构造查询（最安全，避免手写SQL） #

control_plans = ControlPlan.arel_table
ControlPlan.find_by(
  control_plans[:code].eq(hash_params[:control_plan_code]).and(
    control_plans[:validity_dates].contains(hash_params[:inspection_started_on])
  )
)

注意事项 #

• 禁止使用字符串拼接日期的写法（如date '#{xxx}'），这会引入SQL注入风险，违背参数化查询的初衷。
• 若传入的日期是字符串格式，建议先转换为Date对象再传入查询，让ActiveRecord自动处理类型映射，减少手写SQL的出错概率。

内容的提问来源于stack exchange，提问作者Sig