如何通过tiny_tds在Ruby与外部SQL文件间传递数据并执行查询

好问题！把SQL逻辑从Ruby代码中抽离确实能让项目结构更整洁，而且tiny_tds完全支持安全的参数化查询，既能实现你的需求，还能避免直接字符串插值带来的SQL注入风险。下面是具体的实现步骤：

1. 调整SQL文件的占位符 #

把你的query.sql里的Ruby插值语法换成tiny_tds支持的参数占位符?（这是大多数数据库驱动通用的占位符格式）：

SELECT DISTINCT field1, field2, field3 FROM db WHERE field1 = ?

不要在SQL文件里保留#{value}，因为那是Ruby的语法，SQL文件只需要纯SQL语法加占位符即可。

2. 修改Ruby方法实现参数传递 #

在Ruby代码中，读取SQL文件后，通过tiny_tds的execute方法的第二个参数传递变量数组，驱动会自动完成参数绑定和转义：

def initialize 
  @client = TinyTds::Client.new(:username => '', :password => '', :host => '', timeout: 0) 
end 

def query_example(value) 
  # 读取SQL文件，strip去除多余的换行和空格
  query = File.read("query.sql").strip
  # 第二个参数传入参数数组，顺序和SQL里的?一一对应
  results = @client.execute(query, [value])
  # 保持你原来的返回逻辑（注意这里只会返回第一条结果）
  results.each { |x| return x }
end

3. 多参数场景的扩展 #

如果你的SQL需要多个参数，只需要在SQL文件中添加对应数量的?，并在Ruby中按顺序传递参数数组即可：
比如query.sql内容：

SELECT DISTINCT field1, field2, field3 FROM db WHERE field1 = ? AND field2 > ?

对应的Ruby方法：

def query_with_two_params(value1, value2)
  query = File.read("query.sql").strip
  results = @client.execute(query, [value1, value2])
  results.to_a # 返回所有结果的数组，而不是只返回第一条
end

为什么不直接用字符串替换？ #

你可能会想直接读取SQL文件后用query.gsub('#{value}', value)来替换变量，但这种做法非常危险——如果value是用户输入的内容，很容易引发SQL注入攻击。而tiny_tds的参数化查询会自动对参数进行转义处理，从根本上避免这个问题。

关于其他SQL库的补充 #

如果你考虑更换SQL库，像Sequel、ActiveRecord这类ORM都支持分离SQL文件和参数传递（比如Sequel的from_sql方法，ActiveRecord的sanitize_sql），但如果你已经在使用tiny_tds，上面的方案完全够用，不需要额外更换依赖。

内容的提问来源于stack exchange，提问作者lumos