Cosmos DB查询含单引号的邮箱地址时SQL语法错误求助

核心问题 #

你当前直接拼接SQL字符串并手动转义单引号的方式，不仅容易触发语法错误，还存在SQL注入风险。对于首字符为单引号的邮箱'someemailaddress@whatever.com，手动转义后生成的查询语句'''someemailaddress@whatever.com'会被Cosmos DB解析器误判，导致语法报错。

正确做法：参数化查询 #

Cosmos DB的QueryDefinition原生支持参数化查询，无需手动处理单引号转义，能自动适配特殊字符，同时彻底规避注入风险。修改后的代码如下：

var q = "SELECT * FROM c where c.enrollmentBrandRegion = @enrollmentBrandRegion and c.emailAddress = @emailAddress";
var query = new QueryDefinition(q)
    .WithParameter("@enrollmentBrandRegion", profile.enrollmentBrandRegion)
    .WithParameter("@emailAddress", profile.emailAddress);
var iterator = containerMaster.GetItemQueryIterator<Consumer>(query);

while (iterator.HasMoreResults)
{
    var response = await iterator.ReadNextAsync();
    foreach (var document in response)
    {
        masterOut.Add(document);
        foundCount++;
    }
}

原理说明 #

参数化查询将变量值与SQL语句逻辑分离，Cosmos DB会自动处理值中的特殊字符（包括单引号），确保生成合法的查询语法。同时，这种方式能有效阻止恶意SQL注入攻击，是查询Cosmos DB的最佳实践。

若坚持手动拼接的临时修正 #

如果暂时需要保留字符串拼接方式，需确保整个邮箱被正确的单引号包裹，内部单引号转义为两个单引号。对于示例邮箱'someemailaddress@whatever.com，正确的查询语句应为：

SELECT * FROM c where c.enrollmentBrandRegion = 'Brand_Region' and c.emailAddress = '''someemailaddress@whatever.com'

但这种方式仍存在注入风险，不推荐长期使用。

内容的提问来源于stack exchange，提问作者ChrisP