如何使用Java中的MySQL从字符串文字中删除单引号

Question

我有一个包含p_id和p_name的MySql表person_details 。 现在，如果我想插入一个p_name包含单引号' ，我会以这种方式执行它 -

insert into person_details values (1, 'D\\'souza');

现在，我试图通过这种方式通过java代码执行相同的操作 -

insert into person_details values (1, 'D\\\\\\'souza');

我得到MySQLSyntaxErrorException。

哪里不对了？

Answer 1

要直接回答您的问题，请将引号加倍。

insert into person_details values (1, 'D''souza');

但我宁愿使用PreparedStatement对查询进行参数化。

以下是PRO：

• 避免SQL注入
• 不需要使用单引号。

例，

String str = "insert into person_details values (?, ?)";
query = con.prepareStatement(str);
query.setInt(1, 1);
query.setString(2, "D'souza");
query.executeUpdate();

• 使用准备好的陈述

Answer 2

在MySQL中，您在字符串中使用''作为单个' ：

insert into person_details values (1, 'D''souza');

链接到文档

但这仅适用于您按字面提供数据的情况，例如使用您控制的数据预先填充表格的SQL脚本等。如果您从外部源（例如，最终用户）接收该字符串，或者外部系统）然后可能你不会写文字，而是使用字符串变量。 在这种情况下，您希望将预准备语句用作JW。 在他的回答中描述 。 为什么： http ： //xkcd.com/327/

Answer 3

你也可以用"

insert into person_details values (1, "D'souza");

Answer 4

为什么不使用PreparedStatements

它还将处理SQL注入