Rails生成SQL时为什么会截断where方法传入的非法参数？

底层逻辑说明 #

你观察到的截断行为是Rails Active Record 的类型强制转换机制的预期行为，不是bug，核心逻辑如下：

• Active Record 会为每个数据库字段绑定对应的类型处理器，bigint类型的id字段对应的是ActiveModel::Type::BigInteger处理器
• 当传入字符串类型的参数时，处理器会调用Ruby内置的Integer()方法做强制转换：该方法的规则是提取字符串开头的连续有效数字部分，忽略后续非数字字符，只要开头存在合法数值就返回对应整数，仅当字符串完全无有效开头数字时才会返回0或抛出类型错误（不同Rails版本略有差异）
• 类型转换发生在SQL语句生成之前，所以你最终看到的SQL里直接是转换后的数值123，截断行为完全发生在Rails应用层，和数据库无关

设计初衷 #

这个宽松转换的设计是为了兼容Web开发的常见场景：

• 前端表单、URL参数传递的数值默认都是字符串格式，比如用户在id输入框输入123，传到后端就是字符串"123"，自动类型转换可以减少开发者手动处理参数类型的冗余代码
• 符合Rails早期「约定优于配置」的设计理念，默认处理通用场景的适配问题，降低开发门槛

安全风险说明 #

你提到的安全隐患确实存在，但不属于SQL注入风险：

• 类型转换后的数值是合法的SQL参数，不会造成SQL注入漏洞
• 风险主要来自业务逻辑层面：比如如果你的权限校验逻辑是直接对比字符串参数params[:id] == 某预设值，攻击者可以传入123xxx绕过字符串对比，却能在数据库查询到id=123的记录，造成权限绕过、越权访问等问题

规避方案 #

如果需要严格校验参数格式，可以采用以下方案：

• 查询前主动添加参数格式校验，用正则/^\d+$/匹配传入的id参数，不符合格式直接返回参数错误
• Rails 7+ 支持配置严格类型转换，可针对特定字段替换为严格的类型处理器，传入非纯数字参数时直接抛出类型错误

内容的提问来源于stack exchange，提问作者Adverbly