转义 MS Access 查询的特殊字符

Question

我想通过 ms access 数据库的插入查询来存储这些字符“ '^+%&/()=?_ ”。我该如何做到这一点并预防每种情况？

Answer 1

使用参数化 INSERT< /代码> 声明。

看起来您的代码正在组装 SQL 命令字符串。我必须告诉你：如果是这种情况，它会使你的代码容易受到SQL 注入的攻击。

Answer 2

除了使用参数化查询（参见 Adrian 的答案）之外，您还可以使用带参数的查询定义并调用它。

例如，您可以使用以下 sql 创建一个名为 qry_InsSomeTable 的查询

PARAMETERS P_SomeField Text ( 255 );
INSERT INTO tbl_SomeTable (  P_SomeField )
VALUES (P_SomeField );

然后您可以像调用任何存储过程一样调用

using(var cn = new OleDbConnection("Provider=Microsoft.Jet.OLEDB.4.0;Data Source=c:\Whatever.mdb")
{
    var cmd = new OleDbCommand();
    cmd.Connection = cn;
    cmd.CommandType = CommandType.StoredProcedure;
    cmd.CommandText = cmd.CommandText = "qry_InsSomeTable";
    cmd.Parameters.AddWithValue("P_SomeField", "'^+%&/()=?_ ");

    cn.Open();

    cmd.ExecuteNonQuery(); 


}

当您有一个包含一堆字段的表时，它特别有用

例如

  cmd.CommandText = @"Insert  Into TableWithAlotofFields 
                    (field1, field2, field3, field4, field5,...)
                    VALUES(?,?,?,?,?,?,?,?,?,?,?,?,?,?,?,?..)";


  cmd.Parameters.Add("value1");
  cmd.Parameters.Add("value2");
  cmd.Parameters.Add("value3");
  cmd.Parameters.Add("value4");
  cmd.Parameters.Add("value5");

vs.

查询已经在 Access 中定义，就像

 PARAMETERS P_field1Text Text ( 255 ), P_field2 Number, P_field3 text(15), ...;
  Insert Into TableWithAlotofFields 
  (field1, field2, field3, field4, field5,...)
  VALUES(P_field1, P_field2, P_field3, P_field4, P_field5,...)

在 c# 中一样

 cmd.CommandText = cmd.CommandText = "qry_InsSomeTable";
 cmd.Parameters.AddWithValue("P_field1", "value1");
 cmd.Parameters.AddWithValue("P_field2", "value2");
 cmd.Parameters.AddWithValue("P_field3", "value3");
 cmd.Parameters.AddWithValue("P_field4", "value4");
 cmd.Parameters.AddWithValue("P_field5", "value5");

但是正如 @David-W-Fenton 指出的那样，参数上的名称将被忽略，仅考虑位置。
例如

这

  cmd.Parameters.AddWithValue("P_field1", "value1");
  cmd.Parameters.AddWithValue("P_field2", "value2");

不等于

 cmd.Parameters.AddWithValue("P_field2", "value2");
 cmd.Parameters.AddWithValue("P_field1", "value1");

所以看起来它主要是风格上的差异。

Answer 3

要插入特殊字符，应将特殊字符括在方括号 ([]) 中。我希望这有帮助。

Answer 4

在 Visual Studio 上，您必须将单字符转换为双字符，

即：

sql = replace(sql, "'", "''");