Question

SqlConnection conn = new SqlConnection("server=.;database=test;uid=sa;pwd=123456;"); SqlCommand cmd

如果添加的内容包含有 ' 的话，就会出错，有什么办法解决不
SqlConnection conn = new SqlConnection("server=.;database=test;uid=sa;pwd=123456;");
SqlCommand cmd = new SqlCommand();
cmd.CommandType = System.Data.CommandType.Text;
cmd.CommandText = "INSERT Artricle VALUES ('" + biaoti + "','" + content + "','" + updatatime + "')";
cmd.Connection = conn;
conn.Open();
cmd.ExecuteNonQuery();
conn.Close();

Answer 1

数据库中出现单引是会导致SQL语句变样的。
content .Replace("\'","\"") ，你可以通过这个方法把单引号换成双引号~

追问

没有其他好一点的办法么，现在发现是出现单引号就出错，可能还会碰到其他字符出错，其他网站有这个问题么，有没有比较通用的处理办法，谢谢

追答

那就是楼下的办法。采用参数化的方式来进行数据插入，这样可以防止SQL注入攻击，而且不易出错。安全性高。

Answer 2

朋友，最好还是用传参的形式，这种是最安全的，有什么问题，可联系我

SqlConnection conn = new SqlConnection("server=.;database=test;uid=sa;pwd=123456;");
SqlCommand cmd = new SqlCommand();
cmd.CommandType = System.Data.CommandType.Text;
cmd.CommandText = "INSERT Artricle VALUES (@biaoti ,@content ,@updatatime)'";
cmd.Parameters.Add("@biaoti",biaoti);
cmd.Parameters.Add("@content",content);
cmd.Parameters.Add("@updatatime",updatatime);
cmd.Connection = conn;
conn.Open();
cmd.ExecuteNonQuery();
conn.Close();