PostgreSQL 上的 OdbcCommand.Parameters 中的 SQL 注入？

Question

假设您在 C#/.NET 中有此代码（通过 ODBC 使用 PostgreSQL）：

using System.Data.Odbc;
...
OdbcCommand cmd = ...;
cmd.CommandText = "SELECT id, email, password FROM users WHERE email=?;";
cmd.Parameters.Clear();
cmd.Parameters.Add("email", OdbcType.VarChar).Value = aEmail;

但是当 aEmail == \' （反斜杠和 apos.） 时，它会给出以下错误：

Exception type: OdbcException 
Exception message: ERROR [42601] ERROR: unterminated quoted string at or near "'\''';";
Error while executing the query

正如我所读到的，使用 OdbcCommand.Parameters 应该保护反对 SQL 注入，但在这种情况下，它看起来好像有些东西不能正常工作，我错过了什么？

重要提示：我以前从未使用过 PostgreSQL、ODBC、.NET（今天开始，但我希望今天也结束；），但我需要在一个简单的 Web 应用程序中修复 4 个 SQL 查询 - 以前有：

System.Format("SELECT ... email = {0}", aEmail)

Answer 1

你想逃避单引号吗？问题是，要转义 PostgreSQL 中的单引号，您应该使用另一个单引号而不是反斜杠转义它：

''''

但是 ODBC 驱动程序应该为您自动仅传递单引号...尝试使用最新版本进行更新ODBC 驱动程序，如果问题仍然存在，也许最好向 postgreSQL bug 邮件列表提出问题。