sql注入漏洞最好是过滤掉“'”,但是如果内容中需要'怎么办呢？

Question

大家是如何解决这个问题的呢？

Answer 1

http://topic.csdn.net/u/20081205/09/3dd06076-bcbe-45d4-998c-8999fdbe6fae.html
SQL注入专题

Answer 2

把所有的"'"替換成 char(39)就得

Answer 3

1.参数化查询，不过我觉得这种方式很累
2.把'转换为'这种方式算是比较流行吧
3.把'转换为''，sqlserver保存的时候就变成了'，但是使用这种方式就不能用存储过程的参数方式了，否则保存到数据库里的值就是原原本本的两个单引号。上面的是我的经验，不知道还有没有更好的方式。

Answer 4

2.把'转换为'这种方式算是比较流行吧 content=replace(content,"'","&#39")这样子做像不行，谁给指点下，谢谢！