在用户生成的变量中要插入的字符串时，如何转义SQL插入的单引号...

Question

我正在构建一个插入命令以使用jdbc执行。它的一部分是连接用户生成的字符串…这一切都将起作用，直到用户使用这样的字符串为止：

A B C D

    String userString="a'bcd";
    String insertTableSQL = "INSERT INTO myTable "
                                + "(insertColumn) " 
                                + "VALUES("
                                    +"'"+userString+"'"
                                    +")";

    statement.executeUpdate(insertTableSQL);

Answer 1

您可以执行以下任一操作：

1. 使用 PreparedStatement 类。（ 推荐 ）

        String userString="a'bcd";
    String myStatement = " INSERT INTO MYTABLE (INSERTCOLUMN) VALUES (?)";
    PreparedStatement statement= con.prepareStatement   (myStatement );
    statement.setString(1,userString);
    statement.executeUpdate();

1. 转义单引号。

在SQL中，单引号将通过使用双单引号进行转义。'->''

        String userString="a'bcd";
    String changedUserString = userString.replace("'","''");
            //changedUserString  = a''bcd
    String insertTableSQL = "INSERT INTO myTable (insertColumn) VALUES("
                            +" '"+changedUserString +"' )";