Obsługa pojedynczego cudzysłowu w ciągu znaków SQL

Question

Mam aplikację, w której wartości w polu tekstowym są wysyłane do bazy danych.

Na przykład mam formularz z jednym polem (pole tekstowe). Kiedy naciśniesz przycisk OK, zawartość pola tekstowego zostanie wstawiona jako rekord do tabeli. Po prostu przycinam i wyodrębniam tekst pola tekstowego do zmiennej i przekazuję go do mojego ciągu SQL.

Problem polega na tym, że za każdym razem, gdy coś takiego jak "It's" lub "Friend's", pojedynczy cudzysłów jest identyfikowany jako koniec ciągu znaków. W Delphi widziałem coś takiego, aby uniknąć tego. Jakieś pomysły od ciebie?

Answer 1

Nie kiedykolwiek zbudować SQL tak, to bardzo niebezpieczne (read this). parametry użytkowania, tj:

var command = new SqlCommand("select * from person where firstname = @firstname"); 
SqlParameter param = new SqlParameter(); 
param.ParameterName = "@firstname"; 
param.Value   = "testing12'3"; 
command.Parameters.Add(param); 

Answer 2

Nadzieja to pomoże ...

public static string DoQuotes(string sql) 
    { 
     if (sql == null) 
      return ""; 
     else 
      return sql.Replace("'", "''"); 
    } 

Answer 3

Zastosowanie .Replace("'","''''")

Na przykład

string name = txtName.Text.Replace("'","''''"); 

Teraz name mogą być przekazywane jako parametr w procedurze przechowywanej itp