如何用Python3的re模块转义SQL Server INSERT语句中的双引号？

首先明确SQL Server的字符串转义核心规则：

• SQL字符串用单引号'包裹，内部的单引号必须转义为两个单引号''
• 双引号"在单引号包裹的字符串里无需转义，可直接保留

你的问题出在错误转义了HTML实体形式的双引号（"），反而破坏了SQL语句格式，以下是正确处理方案：

情况1：需将HTML实体转为真实双引号存储 #

如果目标是把"转换成实际的双引号"再插入SQL：

# 先将HTML实体双引号替换为真实双引号
escaped_statement = escaped_statement.replace('"', '"')
# 转义SQL字符串中的单引号（关键步骤）
escaped_statement = escaped_statement.replace("'", "''")

情况2：直接保留HTML实体字符串 #

如果不需要转换HTML实体，仅需处理字符串中的单引号即可：

# 仅转义单引号，双引号的HTML实体无需处理
escaped_statement = escaped_statement.replace("'", "''")

你的正则尝试失败原因 #

你使用re.sub(r'\"', r'\"\"', escaped_statement)的问题在于：

• 匹配并替换了HTML实体形式的双引号，把单个"变成两个，导致SQL语句中出现""的错误格式，触发语法报错。这种固定字符串替换完全不需要用正则，replace()方法更高效可靠。

更安全的替代方案：参数化查询 #

手动转义容易出错，更推荐使用参数化查询，自动处理所有转义问题，同时避免SQL注入风险：

import pyodbc

# 建立SQL Server连接
conn = pyodbc.connect('你的SQL Server连接字符串')
cursor = conn.cursor()

# 用参数化方式插入，无需手动转义
html_content = '<span style="font-size:14px;"><span style="font-family:\'Times New Roman\', Times, serif;">'
cursor.execute("INSERT INTO [events] VALUES (?)", (html_content,))
conn.commit()

内容的提问来源于stack exchange，提问作者SkyeBoniwell