Rails 生SQLの書き方

Question

前提・実現したいこと

rails5.2にてスキーマの更新をしようとしてSQLを記述中につまずきました。
Tenantテーブルの名前を変更したい。
rake.taskを実行 -> メソッドを参照 -> SyntaxErrorやwrong number of bind variablesが出るがちゃんと実行されている模様。。。なのでエラーを止めたいのが今回の目標です。よろしくお願いいたします。

発生している問題・エラーメッセージ

・ActiveRecord::PreparedStatementInvalid: wrong number of bind variables (1 for 2) in: ALTER SCHEMA ? RENAME TO ?

・ActiveRecord::StatementInvalid: PG::SyntaxError: ERROR:  syntax error at or near "("
LINE 1: ALTER SCHEMA ('hoge') RENAME TO ('huga')

・ActiveRecord::StatementInvalid: PG::SyntaxError: ERROR:  syntax error at or near "'henteko'"
LINE 1: ALTER SCHEMA 'henteko' RENAME TO 'd-jobma'
                     ^
: ALTER SCHEMA 'henteko' RENAME TO 'd-jobma'

該当のソースコード

rake.task
  rake tenant:rename_tenant[huga,hoge] # この場合current_nameにhuga、target_nameにhoge

def self.rename_tenant(current_name, target_name)
  ...
  ...
  sql = ActiveRecord::Base.sanitize_sql_array(['ALTER SCHEMA ? RENAME TO ?', current_name, target_name])
    sanitized_sql = ActiveRecord::Base.send(:sanitize_sql_array, sql)
    ActiveRecord::Base.connection.execute(sanitized_sql)
end

試したこと

['ALTER SCHEMA ? RENAME TO ?', current_name: current_name, target_name: target_name]　#この部分を以下のように修正するもエラー

['ALTER SCHEMA (:current_name) RENAME TO (:target_name)', current_name: current_name, target_name: target_name]

Comments

[winterboum]

訂正：とりあえず削除

[Chi_Hiro_]

こちらの実装人から引き継いだもので当初どのような想定で実装を進めたかわかりかねるところがあります。質問を質問で返すようで恐縮ですがmigrationを使うとどのようなメリットがございますでしょうか？

Answer 1

すみません、脊髄反射で書いてからよみなおしてあれ？とおもったのですが、tableのschemaの変更ではなくまさに schemaの変更ですね。そのmigrationがあるかどうかわからず調べるか、、、と「とりあえず削除」でした。

selectなどのSQLと違うのでRailsのサニタイズが邪魔をしているのかも、ですね。

sql="ALTER SCHEMA hoge RENAME TO huga" ActiveRecord::Base.connection.execute(sql)
と直書きではどうでしょう。

Comments

[Chi_Hiro_]

ありがとうございます。お伝えするのを忘れていましたが、もともとその実装だったのですがbrakemanにてSQLインジェクションで怒られましたのでプレースホルダでの実装を目指していたところです。

[winterboum]

このケースはbrakemanの勇み足ではないかなぁ。
外部から変更される部分はないからインジェクションしようがない。

[Chi_Hiro_]

度々申し訳ないです。
current_name, target_nameですがメソッドの引数に使われていて
引数からそのままSQLに代入しているのでSQLインジェクションに該当するのではないかと考えています。
五月雨式でのお伝えでお手数おかけします。

[winterboum]

機会的判断としてはそうですね。
その引数がどこから来るのか、プログラム内で管理しているものならリスクはないですよね

という、brakeman無視の方法以外を考えるとすると、、、

ごめんなさい、、、です

[Chi_Hiro_]

かしこまりました。ご対応ありがとうございます。