c# - 字符串包含引号字符 (')

Question

我有一个用于 where 子句的字符串，但该字符串包含引号字符 (')

例子:

SELECT * FROM CsCustomer WHERE Name ='SA'MIR LUBIS' 

我从 sql server 得到错误。有什么建议吗？

我用它来将结果显示到表格单元格中

c = new TableCell();
c.Text = Db.SingleString("SELECT Unit FROM cscustomer WHERE Name='"+ r.Name +"'");
tr.Cells.Add(c);

Answer 1

您应该使用参数化查询。您可以在查询 '(另一个单引号)中转义单引号

由于问题已用 C# 标记，如果您使用连接构建查询，那么您一定会遇到此类错误。如果你使用会更好 SqlParameter像这样的东西:

SqlCommand cmd = new SqlCommand("SELECT * FROM CsCustomer WHERE Name =@pName");
cmd.Parameters.Add("@pName", "SA'MIR LUBIS"); //or any GUI control

这也将使您免于 SQL Injection