java替换 ' with\'

Question

我正在使用 mySQL。如果 ' 在要添加到数据库的字符串中，则无法处理。

我试过:

replaceAll("'","\\'") 

和

replaceAll("'","\'")

关于如何用 \' 替换 ' 有什么想法吗？

Answer 1

不要使用字符串替换来处理这个问题。相反，使用准备好的语句，从而让 JDBC 驱动程序为您转义参数:

String sql = "select a.foo from a where a.bar = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, aStringWhichMightContainQuotes);
ResultSet rs = stmt.executeQuery();

这是拥有独立于数据库的健壮代码的正确方法，它不易受到 SQL 注入(inject)攻击。如果您使用不同的参数多次执行相同的查询，它也会提高效率。

参见 JDBC tutorial获取更多信息。