Rails中用ActiveRecord实现关联表字段select与order的正确写法

重构后的安全ActiveRecord写法 #

# 可提前定义关联表的Arel对象复用
fish_arel = Fish.arel_table

Aquarium
  .select(:id, :name, :yr_built, fish_arel[:name].as('fish_name'))
  .joins(:fishes)
  .where(fishes: { name: "Nemo" })
  .order(fish_arel[:bday].desc)

写法说明 #

select 部分改写逻辑

• 直接传入字符串'fishes.name'属于原生SQL片段，若后续涉及动态参数拼接存在注入风险，使用关联模型的arel_table构造字段是ActiveRecord官方推荐的安全写法，可完全规避SQL注入问题。
• 末尾追加.as('fish_name')是为关联表字段设置别名，避免和主表aquariums的name字段冲突，后续调用返回的Aquarium实例时，可直接通过#fish_name方法读取关联的鱼的名称。

order 部分改写逻辑

• 你尝试的order(fishes: {bday: :desc})不生效，是因为Rails的Hash语法排序目前仅支持主表字段，不支持嵌套Hash指定关联表字段。
• 使用Fish.arel_table[:bday].desc可正确生成ORDER BY fishes.bday DESC的SQL语句，完全符合ActiveRecord规范，无注入风险。

简化内嵌写法（无需单独定义Arel变量） #

Aquarium
  .select(:id, :name, :yr_built, Fish.arel_table[:name].as('fish_name'))
  .joins(:fishes)
  .where(fishes: { name: "Nemo" })
  .order(Fish.arel_table[:bday].desc)

该写法兼容性强，支持所有Rails 4+版本。

内容的提问来源于stack exchange，提问作者KGE