So fügen Sie einem dynamischen SQL-Befehl Zitate hinzu?

Question

Ich speichere und bearbeite ein Feld in einer Datenbank mit einer langen Folge von einem oder mehreren Sätzen. Wenn ich ein einzelnes Anführungszeichen in das Textfeld einfüge und es speichern möchte, löst es eine Ausnahme wie aus "Falsche Syntax in der Nähe von 'l'. Nicht geschlossenes Anführungszeichen nach der Zeichenfolge ''." Gibt es eine Idee, das zu vermeiden?

EDIT: Die Abfrage ist:

SqlCommand com = new SqlCommand("UPDATE Questions SET Question = '[" + 
    tbQuestion.Text + "]', Answer = '[" + 
    tbAnswer.Text + "]', LastEdit = '" + 
    CurrentUser.Login + 
    "'WHERE ID = '" + CurrentQuestion.ID + "'"); 

Answer 1

Wie KM sagte, tun Sie dies nicht!

Do diese statt:

private static void UpdateQuestionByID(
    int questionID, string question, string answer, string lastEdited) 
{ 
    using (var conn = new SqlConnection(connectionString)) 
    { 
     conn.Open(); 
     const string QUERY = 
      @"UPDATE Questions " + 
      @"SET Question = @Question, Answer = @Answer, LastEdit = @LastEdited " + 
      @"WHERE ID = @QuestionID"; 
     using (var cmd = new SqlCommand(QUERY, conn)) 
     { 
      cmd.Parameters.AddWithValue("@Question", question); 
      cmd.Parameters.AddWithValue("@Answer", answer); 
      cmd.Parameters.AddWithValue("@LastEdited", lastEdited); 
      cmd.Parameters.AddWithValue("@QuestionID", questionID); 
      cmd.ExecuteNonQuery(); 
     } 
    } 
} 

Answer 2

eine gespeicherte produre Schreiben Sie Feld Bearbeitung zu tun und SQL-Parameter zu verwenden, um den Wert zu speichern. Zitate spielen keine Rolle. Wenn Sie nicht möchten, dass ein Stored Proc mindestens Ihren SQL-Text mit Parametermarkern erstellt, verwenden Sie dazu SQL-Parameter.

Answer 3

Wenn Sie einen Apostroph in eine SQL-Feld enthalten sein sollen, entkommen sie Apostrophe

'''Test''' = 'Text' 

mit diesem für SQL Server ist.

Answer 4

In MSSQL können Sie Ihre Angebote verdoppeln:

my dodg'y test   -> 'my dodg''y test' 
my 'quoted' string  -> 'my ''quoted string''' 
'first and last quotes' -> '''first and last quotes''' 

Answer 5

es schwierig ist, Ihnen eine konkrete Antwort zu geben, weil Sie die Datenbank oder Applikationssprache nicht tun Liste Sie verwenden.

Sie müssen Ihr SQL dynamisch erstellen, und das Zitat innerhalb des Stems wird als das Ende der Zeichenfolge interpretiert. Abhängig von der verwendeten Datenbank müssen Sie die einfachen Anführungszeichen innerhalb jeder Zeichenfolge, die Sie in Ihrem SQL-Befehl verwenden möchten, umgehen. Dies kann durch Drucken der Abfrage angezeigt werden, bevor Sie versuchen, sie auszuführen.

Sie die Anwendung nicht erwähnen, dass Sie die Datenbank aus anrufen, aber wenn Sie bauen Sie Sie benötigen Befehl ein FIX_QUOTES() Befehl verwenden, die Sie schreiben oder von Ihrer Sprache zur Verfügung gestellt, wenn:

SqlCommand com = new SqlCommand("UPDATE Questions SET Question = '[" + FIX_QUOTES(tbQuestion.Text) + "]', Answer = '[" + FIX_QUOTES(tbAnswer.Text) + "]', LastEdit = '" + FIX_QUOTES(CurrentUser.Login) + "'WHERE ID = '" + FIX_QUOTES(CurrentQuestion.ID) + "'"); – A 

Diese Art der dynamischen Abfrage ist sehr einfach für eine sql injection attack. Ich würde empfehlen, die Datenbank mit einer gespeicherten Prozedur oder mit einer Parameterliste aufzurufen.

Answer 6

Wie einige haben bereits gesagt, ein zusätzliches Angebot Hinzufügen wird es tun. Ich kann bestätigen, dass dies auch für Oracle der Fall ist (andere haben diese Antwort als gültig für MSSQL und SQL Server angegeben). Ich denke, dass die Verwendung von gespeicherten Prozeduren dafür zu viel ist.