Sql 语句中插入特殊字符怎么处理?

Question

用存储过程就不会出现这种情况。如
Create Procedure instable
(
@col1 varchar(20),
@col2 varchar(20)
)
as
Insert into AAA(COL1,COL2) VALUES(@col1,@col2)

Answer 1

用存储过程就不会出现这种情况。如
Create Procedure instable
(
@col1 varchar(20),
@col2 varchar(20)
)
as
Insert into AAA(COL1,COL2) VALUES(@col1,@col2)

Answer 2

这样string Sql_str = "insert into wendan(title,conect) values (@title,@conect)";
OleDbConnection Conn = new OleDbConnection(Connstr);
OleDbCommand My_cmd = new OleDbCommand(Sql_str, Conn);
Conn.Open();
My_cmd.Parameters.Add(new OleDbParameter("@title", OleDbType.VarChar,250));
My_cmd.Parameters.Add(new OleDbParameter("@conect", OleDbType.VarChar,8000));

My_cmd.Parameters["@title"].Value=title.Text;
My_cmd.Parameters["@conect"].Value=conect.Text;
My_cmd.ExecuteNonQuery();
Conn.Close();

Answer 3

这样string Sql_str = "insert into wendan(title,conect) values (@title,@conect)";
OleDbConnection Conn = new OleDbConnection(Connstr);

OleDbCommand My_cmd = new OleDbCommand(Sql_str, Conn);
Conn.Open();
My_cmd.Parameters.Add(new OleDbParameter("@title", OleDbType.VarChar,250));
My_cmd.Parameters.Add(new OleDbParameter("@conect", OleDbType.VarChar,8000));

My_cmd.Parameters["@title"].Value=title.Text;
My_cmd.Parameters["@conect"].Value=conect.Text;
My_cmd.ExecuteNonQuery();
Conn.Close();

Answer 4

1.使用参数，方法如下：
SqlCommand cmicCmd=new SqlCommand("insert insert into cmicTable " +
" (Col1,Col2) " +
" values(@Col1,@Col2) ",cmicCn);
cmicCmd.Parameters.Add(new SqlParameter("@Col1",SqlDbType.Int));
cmicCmd.Parameters[0].Value=textBox1.Text;
cmicCmd.Parameters.Add(new SqlParameter("@Col2",SqlDbType.Int));
cmicCmd.Parameters[1].Value=textBox2.Text;
cmicCmd.ExecuteNonQuery();
2.重字符串：
string strSql="你的Sql语句";
strSql=strSql.Replace("'","''");

Answer 5

string str=@"\d\d";
string strInsert = "insert into tab(field1) values('"+str+"')";

Answer 6

upCMIC(大象), xrascal(横刀夺爱)的什么意思?

Answer 7

写方法对特殊字符进行encode，需要用时再decode

Answer 8

两种方法都可以：1.valuetoinsert.replace("'","''")  将字符串的单引号替换成双引号
2.用存储过程实现存储

Answer 9

'' replace 'or use:where myname = 'ArLi[']Books'

Answer 10

插入的字符串用'' 代替'
要插入的字符串: txtUserName.Text.Trim().Replace("''","'");