Jak uniknąć pojedynczego cudzysłowu w literale ciągu używając MySQL z Java

Question

Mam tabelę MySql person_details, która zawiera p_id i p_name. Teraz, jeśli chcę wstawić rekord gdzie p_name zawiera apostrof ', bym ją wykonać tę drodze,

insert into person_details values (1, 'D\'souza');

Teraz próbuję wykonać to samo za pomocą kodu java ten sposób -

insert into person_details values (1, 'D\\\'souza');

i dostaję MySQLSyntaxErrorException.

Coś nie tak?

Answer 1

Aby odpowiedzieć na to pytanie bezpośrednio, podwójne cudzysłowy.

insert into person_details values (1, 'D''souza'); 

Ale raczej sparametryzowałem zapytanie za pomocą PreparedStatement.

Oto Plusy:

• unikanie z SQL Injection
• nie trzeba używać apostrofów.

przykład,

String str = "insert into person_details values (?, ?)"; 
query = con.prepareStatement(str); 
query.setInt(1, 1); 
query.setString(2, "D'souza"); 
query.executeUpdate(); 

• Using Prepared Statements

Answer 2

W MySQL, należy użyć '' dla pojedynczego ' wewnątrz łańcucha:

insert into person_details values (1, 'D''souza'); 

Link to docs

Ale to tylko, gdy jesteś dostarczenie danych dosłownie, takie jak skrypt SQL do wstępnej - wypełnij tabelę danymi, które kontrolujesz, itp. Jeśli odbierasz ten ciąg z zewnętrznego źródła (na przykład końcowego użytkownika lub zewnętrznego systemu), prawdopodobnie nie będziesz pisać dosłownie, ale raczej użyjesz zmienna łańcuchowa. W takim przypadku chcesz użyć przygotowanych instrukcji jako JW. describes in his answer. Dlaczego: http://xkcd.com/327/

Answer 3

Można również użyć "

insert into person_details values (1, "D'souza"); 

Answer 4

Dlaczego nie używasz PreparedStatements

będzie również dbać o SQL injection