如何安全创建可明确指定列的ActiveRecord类方法？

这确实是ActiveRecord关联查询里很容易踩的坑——当你的工具方法和跨表查询链结合时，未限定表名的列引用很容易触发歧义报错，而直接字符串插值的“快速解决方案”又会埋下SQL注入的隐患，尤其是在有动态表名的场景下（比如你提到的宜家的Table模型）。

最佳安全方案：用ActiveRecord内置的安全引用方法 #

ActiveRecord本身提供了专门的方法来安全处理表名和列名的引用，既能解决列歧义，又能彻底避免SQL注入风险：

• 使用quoted_table_name获取安全转义的表名：这个方法会自动根据数据库适配器的规则转义表名，哪怕表名包含特殊字符或者被恶意构造，都会被正确处理。
• 使用connection.quote_column_name安全引用列名：同样，它会适配不同数据库的列名转义规则，避免注入。

举个具体的实现例子，假设你的工具方法是要筛选某个状态的记录：

class ApplicationRecord < ActiveRecord::Base
  self.abstract_class = true

  def self.active_records
    where("#{quoted_table_name}.status = ?", 'active')
  end
end

如果是更复杂的场景，比如需要动态指定列名，也可以用同样的方式：

def self.with_value(column_name, value)
  safe_column = connection.quote_column_name(column_name)
  where("#{quoted_table_name}.#{safe_column} = ?", value)
end

为什么这比直接插值安全？ #

quoted_table_name和quote_column_name会自动处理所有危险字符：比如如果攻击者恶意构造了table_name为users; DROP TABLE orders;--，这个方法会把它转义成数据库能识别的合法表名字符串，而不是执行恶意SQL语句。

额外优化：用Arel构建查询（更优雅的方式） #

如果你想彻底避免手写SQL字符串，还可以用ActiveRecord底层的Arel来构建查询，它会自动处理表名和列名的限定，完全不需要担心歧义或注入：

def self.active_records
  where(arel_table[:status].eq('active'))
end

这种方式更符合ActiveRecord的设计理念，可读性和安全性都拉满——Arel会自动帮你加上表名前缀，同时所有参数都会被正确绑定，不存在注入风险。

关联查询时的歧义处理 #

如果是和其他表的方法链组合（比如User.active_records.joins(:posts)），只要你的工具方法里的列引用都用了当前模型的quoted_table_name或者arel_table，就不会和关联表的列名冲突，从根源上解决歧义问题。

内容的提问来源于stack exchange，提问作者Eli Rose