Android cytaty wewnątrz łańcucha zapytania sql

Question

chcę wykonać kwerendę tak:

uvalue = EditText(some user value); 
p_query = "select * from mytable where name_field = '" + uvalue + "'" ; 
mDb.rawQuery(p_query, null); 

jeśli użytkownik wprowadzi apostrof w ich wejście to awarii. Jeśli zmienisz go na:

p_query = "select * from mytable where name_field = \"" + uvalue + "\"" ; 

ulega awarii, jeśli użytkownik wprowadzi podwójny cudzysłów w ich danych wejściowych. i oczywiście zawsze można wprowadzić zarówno pojedyncze, jak i podwójne cudzysłowy.

Answer 1

Należy skorzystać z rawQuery metody badaniem selectionArgs parametr:

p_query = "select * from mytable where name_field = ?"; 
mDb.rawQuery(p_query, new String[] { uvalue }); 

To rozwiązuje nie tylko problem cytaty ale również łagodzi SQL Injection.

Answer 2

DatabaseUtils.sqlEscapeString działał poprawnie dla mnie. Ciąg jest ujęty w pojedyncze cudzysłowy, a pojedyncze cudzysłowy wewnątrz ciągu stają się podwójnymi cudzysłowami. Próbowano przy użyciu selectionArgs w getContentResolver(). Query(), ale nie działało w ogóle.

Answer 3

Czy próbowałeś zastąpić pojedynczą wycenę dwoma pojedynczymi cytatami? Działa to do wprowadzania danych do bazy danych.

Answer 4

Mam ten sam problem, ale teraz to jest rozwiązane tylko przez pisanie kodu podobnego w Twoim przypadku, gdy chcesz wstawić wartość uvalue .Następnie napisać jak

uvalue= EditText(some user value); 
uvalue = uvalue.replaceAll("'", "''"); 
p_query = "select * from mytable where name_field = '" + uvalue + "'" ; 
mDb.rawQuery(p_query, null); 

chłodny .. !!

Answer 5

Wolę uciec apostrofach i cudzysłowach w każdym INSERT z SQLite tak:

String sqlite_stament = sqlite_stament.replace("'", "''").replace("\"", "\"\""); 

Answer 6

należy zmienić

p_query = "select * from mytable where name_field = '" + uvalue + "'" ; 

jak

p_query = "select * from mytable where name_field = '" + android.database.DatabaseUtils.sqlEscapeString(uvalue)+ "'" ;