java - 使 Java 字符串可用于 SQL 脚本

Question

如果我有一个如下所示的字符串:

This is a string
with single quotes ' all over
the ' place as well as
return characters

如何将其转换为可在 INSERT 语句中使用的字符串？

INSERT INTO MyTable VALUES ('<the above string>');

上面的字符串存在问题，它包含返回字符和单引号，这会扰乱上面 INSERT 语句的有效性。

编辑:抱歉，我可能应该更清楚。我正在使用 INSERT 语句生成 SQL 脚本，而不是在 Java 应用程序中执行 SQL。

Answer 1

I'm generating a SQL Script with INSERT statements, not executing SQL within a Java app.

在这种情况下，您必须生成字符串的“转义”版本。为此，我建议使用 ESAPI来自 OWASP 项目的库(如果可能)。请参阅Defense Option 3: Escaping All User Supplied Input了解更多详情。