编码字符串以便插入 SQLite
我正在使用 sqlite3_exec() 函数来执行 SQL 插入命令。当我需要插入需要编码的字符串时，问题就开始了。
例如，我想插入以下字符串：“f('hello')”。如果我想插入这个字符串，我需要将“'”更改为“''”。
我的问题是，如何对这些字符串进行编码？有我可以信赖的功能吗？或者详细说明所有所需编码的表格？
谢谢！ :-)
I'm using sqlite3_exec() function in order to execute an SQL Insert command. The problem starts when I need to insert strings that need to be encoded.
For example, I want to insert the following string: "f('hello')". If I want to insert this string I need to change "'" to "''".
My question is, how do I encode these strings? Is there a function I can count on? or a table that details all the needed encodes?
Thanks! :-)
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（4）
sqlite_mprintf支持%q。sqlite_mprintfsupports%qfor that.“也许”你应该使用类似准备好的声明之类的东西。我不是 SQLite 专家，但我发现这个链接 (http://www.sqlite.org/c3ref/stmt.html) 它可以帮助你。它是关于 SQL 语句对象的。
"Maybe" you should use something like a prepared statement. I am not an expert in SQLite, but I found this link (http://www.sqlite.org/c3ref/stmt.html) and it could help you. It is about SQL Statement Object.
我强烈建议使用准备好的语句和绑定值，而不是手动转义字符串（这很容易出错并引发 SQL 注入攻击）；阅读 sqlite3_bind_XXX 和 sqlite3_prepare_v2
Instead of manually escaping strings (which is error-prone and invites SQL injection attacks), I'd strongly recommend using prepared statements and bind values; read up on sqlite3_bind_XXX and sqlite3_prepare_v2
使用绑定值可以解决这个问题，并且还可以使 sqlite 更快，因为它会记住以前执行的 sql 语句，并且可以重用它们的执行计划。当 sql 语句总是略有不同时，这不起作用，因为它对完整的 sql 语句进行了哈希处理。
Using bind values will solve this problem and it will also make sqlite faster because it remembers previously executed sql statements and it can reuse their execution plans. This doesn't work when the sql statement is always slightly different because it hashes the complete sql statement.