在 PostgreSQL 中插入带单引号的文本

Question

我有一张桌子test(id,name)。

我需要插入如下值：user's log、'my user'、customer's。

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

如果我运行上述任何语句，我会收到错误消息。

如果有任何方法可以正确地做到这一点，请分享。我不想要任何准备好的陈述。

是否可以使用sql转义机制？

Answer 1

字符串字面量

通过将单引号 ' 加倍来转义它们 -> '' 是标准方式，当然也可以：

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

请注意，纯单引号（ASCII / UTF-8 代码 39），而不是反引号 `，它在 Postgres 中没有特殊用途（与某些其他 RDBMS 不同），而不是双引号 "，用于标识符.

在旧版本中，或者如果您仍然使用 standard_conforming_strings = off 运行，或者通常，如果您在字符串前面加上 E 来声明 Posix 转义字符串语法，您也可以使用反斜杠 @ 进行转义987654337@:

E'user\'s log'

反斜杠本身用另一个反斜杠转义。但这通常不是可取的。
如果你必须处理很多单引号或多层转义，你可以避免在PostgreSQL中用dollar-quoted strings引用地狱：

'escape '' with '''''
$$escape ' with ''$$

为进一步避免美元报价之间的混淆，请为每一对添加一个唯一标记：

$token$escape ' with ''$token$

可以嵌套任意层数：

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

注意$ 字符在您的客户端软件中是否应该具有特殊含义。此外，您可能还必须逃避它。对于像 psql 或 pgAdmin 这样的标准 PostgreSQL 客户端，情况并非如此。

这对于编写 plpgsql 函数或 ad-hoc SQL 命令非常有用。但是，当用户可以输入时，它不能减轻使用准备好的语句或其他方法来防止应用程序中的 SQL 注入的需要。 @Craig's answer 对此有更多了解。更多详情：

• SQL injection in Postgres functions vs prepared queries

Postgres 中的值

在处理数据库中的值时，有几个有用的函数可以正确引用字符串：

• quote_literal() or quote_nullable() - 后者为空输入输出字符串 NULL。 （还有quote_ident() 到双引号 字符串，以获取有效的SQL 标识符。）
• format() 与格式说明符 %L 等效于 quote_nullable()。
  喜欢：format('%L', string_var)
• concat() or concat_ws() 通常不适合此目的，因为它们不转义嵌套的单引号和反斜杠。

Answer 2

这是一个糟糕的世界，因为您的问题暗示您的应用程序中可能存在 SQL injection 漏洞。

您应该使用参数化语句。对于 Java，请使用 PreparedStatement with placeholders。你说你不想使用参数化语句，但你没有解释为什么，坦率地说，不使用它们必须是一个很好的理由，因为它们是最简单、最安全的方法解决您要解决的问题。

见Preventing SQL Injection in Java。不要成为Bobby 的下一个受害者。

PgJDBC 中没有用于字符串引用和转义的公共函数。这部分是因为它可能使它看起来像是一个好主意。

有在 PostgreSQL 中内置引用函数 quote_literal 和 quote_ident，但它们适用于使用 EXECUTE 的 PL/PgSQL 函数。现在quote_literal 大多被EXECUTE ... USING 淘汰，这是参数化版本，因为它更安全 并且更容易。您不能将它们用于您在此处解释的目的，因为它们是服务器端函数。

---

想象一下，如果您从恶意用户那里获得值 ');DROP SCHEMA public;-- 会发生什么。你会产生：

insert into test values (1,'');DROP SCHEMA public;--');

分解为两条语句和一条被忽略的注释：

insert into test values (1,'');
DROP SCHEMA public;
--');

哎呀，你的数据库好了。

Answer 3

根据PostgreSQL documentation (4.1.2.1. String Constants)：

要在字符串常量中包含单引号字符，请编写 两个相邻的单引号，例如'黛安'的马'。

另请参阅standard_conforming_strings 参数，该参数控制是否使用反斜杠进行转义。

Answer 4

如果你想在 postgresql 中插入带有' 的值，那么为此你必须提供额外的'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

Answer 5

你可以使用 postrgesql chr(int) 函数：

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Answer 6

如果你需要在 Pg 中完成工作：

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

Answer 7

当我使用Python向PostgreSQL中插入值时，我也遇到了一个问题：列“xxx”不存在。

我在wiki.postgresql找到原因：

PostgreSQL 对此仅使用单引号（即WHERE name = 'John'）。双引号用于引用系统标识符；字段名、表名等（即WHERE "last name" = 'Smith'）。
MySQL 使用`（重音符号或反引号）来引用系统标识符，这显然是非标准的。

这意味着PostgreSQL只能对字段名、表名等使用单引号，所以不能在值中使用单引号。

我的情况是：我想在 PostgreSQL 中插入值“it's adj for sb and it's adj of sb”。

我是如何解决这个问题的：

我将'替换为’，并将"替换为'。因为PostgreSQL值不支持双引号。

所以我认为您可以使用以下代码插入值：

 insert into test values (1,'user’s log');
 insert into test values (2,'my users');
 insert into test values (3,'customer’s');