替换asp.net中的撇号以防止SQL错误

Question

我有一个带有Name字段的Web表单，我希望它能够接受单撇号，例如名称O’Leary，但是当尝试将此记录推送到SQL
2005服务器时，出现错误。我的问题不是这个。这就是当我尝试使用此语句将记录插入到数据库中时…

Dim acctName As String = Replace(txtName.Text, "'", "''")

我在数据库中得到了O’‘Leary，而不是O’Leary。认为SQL应该将这些双单撇号视为一个撇号？？？

Answer 1

使用参数化查询会更好。这些将自动处理单引号，并更好地保护您免受SQL注入的侵害。

插入双引号（是我说的对吗？）是一种转义数据的方法。它应该起作用，但这不是最佳实践。

请参阅本文以获取更完整的答案：

http://msdn.microsoft.com/en-
us/library/ff648339.aspx

我建议的是步骤3。

编辑-我应该更好地阅读问题

如果您已经在使用参数化查询 或 存储过程，并且将acctName的值设置为参数的值，则无需自己对引号进行转义。这是自动处理的。

它还可以通过多种工具来处理，包括Mirosoft模式和实践数据库库。那有几个命令，您可以在其中传递用作参数值的语句和对象数组-也可以处理转义。

如果是上述两种情况之一，则可以完全消除替换值的代码行。