如何使用Rusqlite安全插入含单引号的多行数据？

在使用Rusqlite操作SQLite时，直接拼接多行INSERT语句的方式会因为值中包含单引号而执行失败，比如：

insert into table (field1, field2, field3) 
values ('Value a1', 'Value a2', 'Value a3'), 
       ('Value b1', 'Value b2', 'Value b3')

而单行插入时，我们可以用参数化查询安全处理含特殊字符的值：

let sSQL: String = format!("insert into table(field1, field2, field3) values(?1, ?2, ?3)");
let mut stmt = conn.prepare(&sSQL)?;

stmt.execute([&sValue1, &sValue2, &sValue3]);

针对多行数据的安全插入，推荐两种最佳方式：

方法一：复用预编译语句+事务批量执行 #

这是最稳妥且高效的方案，利用预编译语句自动转义特殊字符，配合事务减少IO开销：

use rusqlite::{Connection, Result};

fn batch_insert(conn: &Connection, data: &[(&str, &str, &str)]) -> Result<()> {
    // 预编译参数化插入语句
    let stmt = conn.prepare("INSERT INTO table(field1, field2, field3) VALUES (?1, ?2, ?3)")?;
    // 开启事务，批量提交提升效率
    let mut transaction = conn.transaction()?;
    
    for (val1, val2, val3) in data {
        transaction.execute(&stmt, [*val1, *val2, *val3])?;
    }
    
    transaction.commit()?;
    Ok(())
}

• 核心优势：彻底避免SQL注入，自动处理单引号等特殊字符；事务包裹下的批量执行能大幅提升插入速度。

方法二：构建多行参数化INSERT语句 #

如果想一次性执行多行插入，可以动态生成对应数量的参数占位符组：

use rusqlite::{Connection, Result};

fn multi_row_insert(conn: &Connection, data: &[(&str, &str, &str)]) -> Result<()> {
    if data.is_empty() {
        return Ok(());
    }
    
    // 生成每一行的参数占位符，比如"(?1,?2,?3), (?4,?5,?6)"
    let placeholders = data.iter()
        .enumerate()
        .map(|(i, _)| {
            let base_idx = i * 3 + 1;
            format!("(?{}, ?{}, ?{})", base_idx, base_idx+1, base_idx+2)
        })
        .collect::<Vec<_>>()
        .join(", ");
    
    let sql = format!("INSERT INTO table(field1, field2, field3) VALUES {}", placeholders);
    
    // 将二维数据扁平化为一维参数数组
    let params: Vec<&str> = data.iter()
        .flat_map(|(v1, v2, v3)| vec![*v1, *v2, *v3])
        .collect();
    
    conn.execute(&sql, params.as_slice())?;
    Ok(())
}

• 注意事项：SQLite默认限制单条语句的参数数量为999，若数据量超过这个限制（比如超过333行，每行3个参数），需要拆分批次执行。
• 优势：减少语句执行次数，数据量适中时性能表现更优。

内容的提问来源于stack exchange，提问作者doctor_vitus