c# - SQL 字符串中的单引号处理

Question

我有一个将文本字段中的值发送到数据库的应用程序。

例如，我有一个只有一个字段(文本框)的表单。当我按下 Ok 按钮时，文本字段的内容将作为记录插入到表中。我只是修剪文本框的文本并将其提取到变量中，然后将其传递给我的 SQL 字符串。

问题是，每当像“It's”或“Friend's”这样的东西时，单引号就被识别为字符串的结尾。在 Delphi 中，我看到类似 QuotedString 的东西可以避免这种情况。你有什么想法吗？

Answer 1

永远不要像那样构建 SQL 语句，它非常不安全 (read this) .使用参数，即:

var command = new SqlCommand("select * from person where firstname = @firstname");
SqlParameter param  = new SqlParameter();
param.ParameterName = "@firstname";
param.Value         = "testing12'3";
command.Parameters.Add(param);