如何在SQL heredoc中使用IN查询？数组常量传入引发语法错误求助

你遇到的这个语法错误很典型——Ruby数组直接插值到SQL字符串时，会输出带方括号的格式（比如["admin", "staff", "guest"]），但PostgreSQL的IN子句要求的是括号包裹、逗号分隔的单引号值列表（比如('admin', 'staff', 'guest')），数据库自然识别不了这种Ruby风格的数组格式。

下面给你几个靠谱的解决方案，优先推荐安全的参数化方法：

1. 使用ActiveRecord参数化查询（最推荐，防SQL注入） #

ActiveRecord原生支持数组参数的处理，不需要手动拼接SQL，既安全又省心：

ROLES = ['admin', 'staff', 'guest']
query = "SELECT * FROM users WHERE role IN (?)"
ActiveRecord::Base.connection.execute(query, [ROLES])

或者用sanitize_sql_array方法生成经过安全处理的SQL语句：

ROLES = ['admin', 'staff', 'guest']
safe_sql = ActiveRecord::Base.sanitize_sql_array(["SELECT * FROM users WHERE role IN (?)", ROLES])
ActiveRecord::Base.connection.execute(safe_sql)

这种方法会自动帮你处理数组的格式转换，同时还能防止SQL注入，是生产环境的首选。

2. 手动格式化数组为SQL兼容格式（不推荐，有安全风险） #

如果你一定要用heredoc的写法，可以把数组转换成SQL认可的格式，但注意：如果数组内容来自用户输入，这种方法会有SQL注入风险，绝对不能用：

ROLES = ['admin', 'staff', 'guest']
# 把每个元素用单引号包裹，再用逗号拼接
formatted_roles = ROLES.map { |role| "'#{role}'" }.join(', ')
query = <<-SQL
  SELECT * FROM users WHERE role IN (#{formatted_roles})
SQL
ActiveRecord::Base.connection.execute(query)

3. 使用Arel构建查询（Rails风格，优雅安全） #

如果想完全脱离原生SQL的写法，用Rails内置的Arel查询构建器是个不错的选择：

ROLES = ['admin', 'staff', 'guest']
users_table = User.arel_table
# 构建查询逻辑
query = users_table.project(Arel.star).where(users_table[:role].in(ROLES))
# 转换为SQL并执行
ActiveRecord::Base.connection.execute(query.to_sql)

这种写法完全由ActiveRecord处理语法细节，既安全又符合Rails的编码习惯。

内容的提问来源于stack exchange，提问作者Rakesh Patidar