遇到包含撇號的名稱（例如O'Conner）時執行查詢時出錯

Question

我的數據庫程序具有​​如下語句：

variable = "SELECT * from Staff where StaffName = '" & cStaffName & "'"

直到我有一個名字中帶有'（撇號）的工作人員為止，此方法才能正常工作，因為它結束了開始的撇號。

SELECT * from Staff where StaffName = 'O'Conner'

有沒有辦法解決這個問題而不用她的名字代替撇號？

Answer 1

您只需要使用參數化查詢。

Using con = new SqlConnection(....)
Using cmd = new SqlCommand("SELECT * from Staff where StaffName = @name", con)
   con.Open
   cmd.Parameters.Add("@name", SqlDbType.NVarChar).Value = cStaffName
   Using reader = cmd.ExecuteReader
     .....
   End Using
End Using
End Using

在這種情況下，您將一個參數添加到SqlCommand參數集合中。 命令文本不再具有字符串連接，而是包含參數占位符（@name）。 參數本身包含您要傳遞給查詢的值。 這樣，值中嵌入的引號就沒有問題。
您還將獲得額外的好處，以避免用戶輸入出現任何類型的Sql Injection問題

Answer 2

variable = "SELECT * from Staff where StaffName = '" & Replace(cStaffName, "'", "\'") & "'"