c# - 在 .NET 中添加斜杠/转义单引号

Question

我正在维护一段连接 SQL 查询的代码，例如:

string sql = "SELECT* FROM table WHERE column = '" + value + "'";

现在事实证明，如果 value 包含 ' 字符，它将破坏 SQL Server 文本语句。我搜索了一些类似于 PHP addslashes 的方法，但没有成功。有 Regex.Escape 但它没用。除了在字符串上调用 Replace 方法外，还有其他方法可以解决该问题吗？

string sql = "SELECT* FROM table WHERE column = '" + value.Replace("'", "''") + "'";

谢谢，帕维尔

Answer 1

你应该使用 SqlCommand和 SqlParameter而不是像现在这样构建查询。正如其他人所说，您正在做的事情让您很容易受到注入(inject)攻击。

如果您不能这样做，那么正如您所说，替换是一个不错的选择。