将字符串数据保存到包含单引号的 SQL Server 的最佳方法是什么[重复]

Question

我有一个需要处理数据并将其存储在 SQL Server 中的 C# 程序。我遇到的问题是一些合法保存的数据包含一个单引号。保存数据时，我需要找到其中包含单引号的项目，并主动将单引号替换为两个单引号，这样我就不会得到截断的字符串。

目前，无论我在哪里添加可能包含单引号的数据，我都会通过以下例程传递它，该例程位于名为 FSQ（修复单引号）的静态模块中，这是例程：

/// <summary>
/// Fix Single Quote - Used to remove Double quotes from strings that would confuse Access database by replacing with Single Quotes.
/// </summary>
/// <param name="s">String text to be fixed by removing double quotes.</param>
/// <returns>The original string with any double-quotes removed and replaced with single quotes. If an error occurs will return an empty string.</returns>
public static string FSQ(string s)
{
    string tmp ="";

    try
    {
        if (s == null)
            return "";

        s = s.Trim();

        if (s == "")
            return s;

        if(s.Contains("'"))
        {
            if(!s.Contains("''"))//Already been fixed previously so skip here
                tmp = s.Replace("'", "''");

                s = tmp;
        }

        return s;


    }
    catch (Exception ex)
    {
        PEH("FDQ", "Common Module", ex.Message);
        return "";
    }
} //public static String FDQ(String s)

这行得通，我的字符串可以正常保存到 SQL，但由于对这个例程有很多调用，所以性能很差，因为程序在处理过程中循环了数千行数据。

是否有更有效的例程可以消除调用此函数的需要？大多数情况下，我只是在构建包含这些项目的更新或插入查询。

任何帮助表示赞赏。

Answer 1

永远不要尝试在您的代码中构建 SQL 语句。永远不要尝试自己逃避事情。您将获得 100% 的可攻击代码（sql 注入）。

根据您使用的数据库适配器，您可以使用参数化查询。

这是一个使用 ado.net 的示例：

var Query = "select * from customers where city = @city";
var cmd = new SqlCommand(Query);
cmd.Parameters.AddWithValue("@city", txtCity);

查询中的@city 将是占位符，稍后会在驱动程序级别替换。

Answer 2

如果您将其作为 varchar/nvarchar 参数传递给 sql server，则不会有任何问题。您不需要将 ' 替换为 ''。

Answer 3

在处理字符串数据时，由于 SQL 注入攻击，您应该非常小心如何在 SQL Server 中处理它。 SQL 注入攻击是指攻击者输入格式错误的文本，从而导致在您的数据库上恶意执行 SQL 语句的攻击。

假设您有一个 products 表，下面是您可能编写的要处理的查询

var query = "SELECT * FROM Products WHERE ProductDesc = " + txtProductDesc;

作为攻击者，我可以输入“Smart Phones OR 1=1”，您可以看到查询最终会列出 products 表中的所有产品。

您可以遵循各种清理技术来避免此类攻击，您可能希望应用这些技术来处理此类攻击

SQL Injection Prevention Cheat Sheet

Answer 4

您需要做的第一件事是使用依赖注入将处理代码与持久性分离。
之后，您处理过的数据将作为 System.String 公开，并由任何 DBMS 通过适当的接口使用。
然后，假设您确实想要持久化到 SQL Server。您可能会使用实体框架，它会反过来处理转义字符，因为它特别知道它将存储该数据（字符串类型）的位置......我想至少。这就是我会做的！如果比我更有经验的人认为这是错误的方法，请随时纠正我！

Answer 5

以下是关于使用参数而不是尝试编写自己的方法来处理操作中的撇号的先前答复，无论是 INSERT、DELETE 还是 UPDATE。下面很简单，通过参数添加新记录并返回新的主键。

第一个插入有一个撇号，第二个插入三个。下面的类在类项目中，而表单的第二个代码块在引用类项目的表单项目中。

using System;
using System.Data.OleDb;
using System.IO;

namespace DataLib
{
    public class Operations1
    {
        public Exception InsertException { get; set; }
        private OleDbConnectionStringBuilder Builder = new OleDbConnectionStringBuilder
        {
            Provider = "Microsoft.ACE.OLEDB.12.0",
            DataSource = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "Database1.accdb")
        };
        public Operations1()
        {
            if (!(File.Exists(Builder.DataSource)))
            {
                throw new FileNotFoundException("Failed to find application's database");
            }
        }
        public bool AddNewRow(string CompanyName, string ContactName, ref int Identfier)
        {

            bool success = true;
            int affected = 0;

            try
            {
                using (OleDbConnection cn = new OleDbConnection { ConnectionString = Builder.ConnectionString })
                {
                    using (OleDbCommand cmd = new OleDbCommand { Connection = cn })
                    {
                        cmd.CommandText = @"INSERT INTO Customer (CompanyName,ContactName) 
                            VALUES (@CompanyName, @ContactName)";

                        cmd.Parameters.AddWithValue("@CompanyName", CompanyName);
                        cmd.Parameters.AddWithValue("@ContactName", ContactName);

                        cn.Open();

                        affected = cmd.ExecuteNonQuery();
                        if (affected == 1)
                        {
                            cmd.CommandText = "Select @@Identity";
                            Identfier = Convert.ToInt32(cmd.ExecuteScalar());
                            success = true;
                        }
                    }
                }
            }
            catch (Exception ex)
            {
                InsertException = ex;
                success = false;
            }
            return success;
        }
    }
}

表单代码（模拟/静态数据）

using DataLib;
using System;
using System.Windows.Forms;

namespace DataLibDemo
{
    public partial class Form1 : Form
    {
        public Form1()
        {
            InitializeComponent();
        }
        private void button1_Click(object sender, EventArgs e)
        {
            Operations1 ops = new Operations1();
            int newIdentifier = 0;
            if (ops.AddNewRow("O'brien and company", "Mary O'brien", ref newIdentifier))
            {
                MessageBox.Show($"New Id for Mary {newIdentifier}");
            }
            else
            {
                MessageBox.Show($"Insert failed: {ops.InsertException.Message}");
            }

            if (ops.AddNewRow("O'''brien and company", "Mary O'brien", ref newIdentifier))
            {
                MessageBox.Show($"New Id for Mary {newIdentifier}");
            }
            else
            {
                MessageBox.Show($"Insert failed: {ops.InsertException.Message}");
            }
        }
    }
}

Answer 6

这是您可以实现的最快方式。

public static string FSQ(string s)
{
       try
    {
        s = s.Trim();
        return s = (s != null && s != "")?(s.Contains("'") && !s.Contains("''"))?s.Replace("'", "''"): s:"";

    }
    catch (Exception ex)
    {
        PEH("FDQ", "Common Module", ex.Message);
        return "";
    }
}