使用Ruby原生PG gem时CREATE DATABASE等语句无法动态替换参数如何解决

问题根因 #

PostgreSQL 服务端原生的参数化查询（也就是exec_params底层调用的机制）仅支持DML类语句（SELECT/INSERT/UPDATE/DELETE等）中的值占位，不支持DDL语句（CREATE/ALTER/DROP等）中的标识符、库名、表名、字段名这类位置的参数替换，这是PG内核的限制，不是pg gem的问题。你之前使用的dbd/pg本质是在客户端做的字符串转义拼接，不是服务端参数化，所以能支持这类场景。

原生pg gem实现方案 #

场景1：INSERT等DML语句的动态替换 #

这类语句本身原生支持服务端参数化，直接调用exec_params即可使用，示例如下：

res = conn.exec_params('INSERT INTO users (name, age) VALUES ($1, $2)', ['张三', 25])

场景2：CREATE DATABASE等DDL语句的动态变量拼接 #

需要使用pg gem自带的标识符转义方法手动处理变量，避免SQL注入风险，禁止直接拼接未转义的变量：

• 转义普通字符串值使用conn.escape_string
• 转义标识符（库名、表名、字段名）使用conn.quote_ident
  示例代码：

# 先转义数据库名
escaped_dbname = conn.quote_ident(dbname)
# 拼接成完整SQL后执行
res = conn.exec("CREATE DATABASE #{escaped_dbname}")

替代工具推荐 #

如果不想自行处理转义逻辑，可以用成熟的数据库抽象层工具替代dbd/pg：

• ActiveRecord：Ruby生态最通用的数据库抽象层，内置各类SQL拼接、转义能力，底层依赖pg gem，同时支持DML参数化和DDL动态变量处理
• Sequel：轻量级数据库工具库，比ActiveRecord更灵活，同样支持自动转义、动态SQL构建，对PostgreSQL的各类特性支持完善

内容的提问来源于stack exchange，提问作者Akash Chourasia