在PowerShell中转义包含单引号的字符串以准备进行SQL查询

Question

我正在尝试运行以下查询，该查询使用某人的名字并将其插入到SQL Server数据库表中。

$name = "Ronnie O'Sullivan"

$dataSource = "127.0.0.1"
$database = "Danny"
$connectionString = "Server=$dataSource;Database=$database;Integrated Security=True;"

$connection = New-Object System.Data.SqlClient.SqlConnection
$connection.ConnectionString = $connectionString
$connection.Open()

$query = "INSERT INTO People(name) VALUES('$name')"

$command = $connection.CreateCommand()
$command.CommandText = $query
$command.ExecuteNonQuery()

$connection.Close()

我面临的问题是单引号导致我的查询出现问题。查询被执行为

INSERT INTO People(name) VALUES('Ronnie O'Sullivan')

这会导致SQL语法错误。

我的问题是如何转义$ name变量，使其在SQL端呈现。

一种解决方案是对我的$ name变量进行查找和替换，查找：’replace：”

$name.Replace("'", "''")

有没有更优雅的解决方案，或者我似乎找不到的功能？

谢谢你。

Answer 1

您可以尝试将代码更新为使用可处理字符串中引号的参数化值：

$query = "INSERT INTO People(name) VALUES(@name)"

$command = $connection.CreateCommand()
$command.CommandText = $query
$command.Parameters.Add("@name", $name)  -- | Out-Null (may be required on the end)
$command.ExecuteNonQuery()