c# - 一个简单的SQL问题: Making an SQL insert statement with text string that contain ' characters

Question

我遵循以下语法

INSERT INTO Table1
VALUES (value1, value2, value3…)

目前为止一切正常。但是现在我有一些包含正常英文文本的值，例如“我要回家了”。 ' 字符破坏了 C# 中的 SQL 命令。我写了以下内容:

command.CommandText = "INSERT INTO Bio VALUES ('" + name + "','"I'm going home" + "');

评估为

INSERT INTO Bio VALUES ('Peter','I'm going home')

这显然行不通。如何确保特殊字符不会破坏 SQL 语句？

Answer 1

看在上帝的份上，使用SqlParameter。否则你的程序将容易受到 SQL Injection 的攻击。 .它还将解决您的特殊字符问题。