撇号动态 SQL

Question

DECLARE @SQL Varchar(Max)
DECLARE @DESCR Varchar(Max)

-- Customer enters description into @Descr
SET @SQL = 'Update TableName SET FieldName='''
+ @DESCR
+ ''' WHERE ID=123'

问题是当客户在 @Descr 变量中输入撇号时。

问：在 Microsoft SQL Server 2005 中，如何将所有撇号替换为双撇号？

Answer 1

如果这甚至需要动态 SQL（您所显示的代码不需要），则使用参数化 SQL 和 sp_executesql 来避免 SQL 注入的可能性。

DECLARE @SQL NVarchar(Max)
DECLARE @DESCR NVarchar(Max)

-- Customer enters description into @Descr


SET @SQL = 'Update TableName SET FieldName=@DESCR WHERE ID=123'

exec sp_executesql @SQL, N'@DESCR NVarchar(Max)', @DESCR =@DESCR

Answer 2

不建议用于生产，但可以使用。

SET @DESCR = REPLACE(@DESCR, '''', '''''')