Bash - 转义单引号

Question

当给定特定 ID、姓氏和名字时，我有一个搜索重复 ID 的数据库脚本。这是它的肉和土豆：

PSQL="psql -p $PGPORT -h $DBHOST -d $DB -tAc "

DUP_ID=$($PSQL "SELECT id FROM inmate WHERE id NOT SIMILAR TO '(0*)${1}' AND lastname ILIKE '${_LNAME}' AND firstname ILIKE '${_FNAME}' LIMIT 1")

效果很好，除非姓氏或名字中包含撇号，例如“O'Neil”。我试图逃避任何 'with \' 的实例，但还没有成功。我花了一整天的时间搜索论坛，并自己尝试了不同的变体，但仍然不会在每个 ' 前面添加 \。

这是我目前得到的：

local _LNAME=`echo "${2}" | sed "s/'/\\\'/g"`
local _FNAME=`echo "${3}" | sed "s/'/\\\'/g"`
echo -e $_LNAME
echo -e $_FNAME

# Output

O'Neil
Robert

一如既往，提前致谢！

Answer 1

QUERY=(
  SELECT id FROM inmate WHERE
  id NOT SIMILAR TO "'(0*)$1'" AND
  lastname ILIKE "'$_LNAME'" AND
  firstname ILIKE "'$_FNAME'" LIMIT 1
)
psql -p $PGPORT -h $DBHOST -d $DB -tAc "${QUERY[*]}"

Answer 2

这是传递复杂命令的错误方式：

PSQL="psql -p $PGPORT -h $DBHOST -d $DB -tAc "

改为使用数组：

single_quote="'"
escaped_single_quote="\\'"
quoted_fname=${1//$single_quote/$escaped_single_quote}
quoted_lname=${2//$single_quote/$escaped_single_quote}
psql=( psql -p "$PGPORT" -h "$DBHOST" -d "$DB" -tAc )
dup_id=( "${psql[@]}" "SELECT id FROM ... WHERE ... '${quoted_lname}'" )

...然后使用"${dup_id[@]}" 运行您的命令将保护您免受shell 注入错误。它不保证可以保护您免受 SQL 注入攻击（执行这些攻击的方法太多，并且数据库在字符集转换方面有太多的特质，因此无法信任简单的基于字符替换的转义在这里针对恶意数据使用），但是，这就是为什么关心正确性或安全性的人们使用支持绑定参数的语言（bash 不是其中的一个成员）来生成 SQL 查询的原因。

另请参阅 BashFAQ #50 和 freenode.org #bash 频道的 wiki 中的 BashWeaknesses 页面——后者明确指出 SQL 生成是不适合 bash 的任务。