Question

C#中编写SQL语句出现单引号怎么办

sql = "INSERT INTO " + m_TextBoxTableName.Text + "(ID,SONG) " + "VALUES(" + newSmallText[0] + ",'" + newSmallText[1] + "')";

这条语句，如果newSmallText[1]传回来的字符串里面有单引号的话，比如是can't的话，应付出错，如果完整地把包含单引号的字符串传给SQL？让它中正确显示

Answer 1

sql语句中可以用连续的两个单引号表示一个单引号字符，形同C#中的转义字符，
比如select '''' 结果就是一个单引号'，所以倘若你的参数 newSmallText[1] 中含有 can't 这样的字符串的话，就可以这样处理：
newSmallText[1].replace("'","''");//引号太不明显了·····总之就是把字符串中的一个单引号替换为两个单引号

Answer 2

利用传参数的方法进行赋值，比如：

strSql = new StringBuilder();
strSql.Append("INSERT INTO table_name(");
strSql.Append("aa,bb)");
strSql.Append(" VALUES (");
strSql.Append("@in_aa,@in_bb)");
cmdParms = new DbParameter[]{
Helper.CreateInDbParameter("@in_aa", DbType.Int32, 1),
Helper.CreateInDbParameter("@in_bb", DbType.AnsiString, “您好”)}

Answer 3

利用传参数的方法进行赋值，比如：

strSql = new StringBuilder();
strSql.Append("INSERT INTO table_name(");
strSql.Append("aa,bb)");
strSql.Append(" VALUES (");
strSql.Append("@in_aa,@in_bb)");
cmdParms = new DbParameter[]{
Helper.CreateInDbParameter("@in_aa", DbType.Int32, 1),
Helper.CreateInDbParameter("@in_bb", DbType.AnsiString, “您好”)}

Answer 4

首先，这样拼接SQL语句是不安全的，
你可以这样
sql=string.Format("INSERT INTO {0}(ID,SONG) VALUES({1},'{2}')",m_TextBoxTableName.Text ,newSmallText[0],newSmallText[1]);

Answer 5

用其他的字符替换,读取的时候再替换出来