SQL中单引号和双引号有什么用？[复制]-解网

问：

4年前关闭。

我正在将字符串或数字传递给 SQL 查询。

单引号和双引号内的单引号是什么意思？

select * from college where class = '"+txtclass.Text+"'

或

select * from college where class = '+txtclass.Text+'

C# asp.net SQL Server 引项

另外：你不应该将你的SQL与用户提供的值连接起来，这样 - 这是对SQL注入的开放。无论您使用哪种数据库系统，都很可能支持参数化查询之类的东西 - 使用这些查询可以避免SQL注入 - 并且使许多与报价相关的问题也消失了

1赞 Andrew Morton 4/26/2019

@marc_s 看起来这是从一行 C# 中截取的片段。您的编辑可能会混淆这一点。

答：

-1赞 Camadas 4/26/2019 #1

应使用 SqlCommand 的参数。

这里有一个小例子来说明如何做到这一点：

using (var con = new SqlConnection("conection string"))
{
    con.Open();
    using (var cmd = con.CreateCommand())
    {
        // Here is where we add the parameters into the Sql Query, this way it will prevent SQL Injection
        cmd.CommandText = "select * from college where class = @class";
        // Now we add the value to the parameter @class, I'm assuming here that the column class is a NVarchar
        cmd.Parameters.Add("@class", SqlDbType.NVarChar).Value = txtclass.Text;
        using (var dr = cmd.ExecuteReader())
        {
            while (dr.Read())
            {
                // Do some code
            }
            dr.Close();
        }
    }
}

这个例子是针对 Sql 的，但也可以对 MySql 做同样的事情，我们只需要使用 MySql 类，其余的都是一样的

注意：我知道这并不能回答已经提出的问题，但是由于他的方式存在安全风险，我决定举一个简单的例子如何使其更安全，因为在对问题的评论中给出了答案

SQL中单引号和双引号有什么用？[复制]

What is the use of single and double quotes in SQL? [duplicate]

评论

评论