SQL中单引号的转义

很多时候,在数据库中某表某字符字段中,要存储的数据内容会含有单引号,比如下面:

string name = GetNameById(id);

string sql = string.Format("update cover_diagnose set name = '{0}' where id = 48951",name);

这样真的没问题吗?

假设name获取的字面值是这样的:O'neal;这条语句数据库执行会报错!

我们看看数据库端执行的sql语句内容是怎样的:     update cover_diagnose set name = 'O'neal' where id = 48951

很明显,数据库将字符 'O' 两端的单引号作为了字符的两个边界,而后面紧跟的那些代码则出现了编译的错误,无法执行.

因此,为了避免这种情况的发生,我们应该在后台代码中过滤这些字符串,获得正确的格式!

static void Main(string[] args)

{

    string name = GetNameById(id);

    name = StrFilter(name);

    string sql = string.Format("update cover_diagnose set name = '{0}' where id = 48951",name);

}

public static string StrFilter(string str)

{

    if (string.IsNullOrEmpty(str))

    {

        return null;

    }

    else

    {

        if (str.Contains("'"))

        {

            str = str.Replace("'", "''"); // 将单引号转义为双单引号 ''

            return str;

        }

        else

        {

            return str;

        }

    }

}

 

       当然，这只是处理这一情况的一种特殊方式。更为合理的处理方式是存储过程和参数化SQL语句。这 2 种方式既可以避免 SQL 注入攻击的问题，还能提升数据库任务的性能，这才是最应该推荐的标准做法！此文就不详细介绍了，在 ASP.NET 4.0 分类随笔中有关于这 2 种 方式的详细介绍。