如何在文本中转义单引号以适配SQL？JavaScript实现方案

云原生阿岚

2026-8-7

解决SQL单引号转义与安全注入问题

首先明确：绝对不要用字符串拼接生成SQL语句

你当前的写法存在严重的SQL注入漏洞，这比单引号导致的报错问题危险得多。正确的做法是使用参数化查询，这是所有数据库驱动都支持的安全做法，同时会自动处理单引号等特殊字符，不需要手动转义。

推荐方案：使用参数化查询（以PostgreSQL的pg库为例）

替换你原有的字符串拼接写法，改用占位符传递参数：

// 假设你使用pg库连接PostgreSQL
const queryText = `
  INSERT INTO posts (id, user_id, title, content, image_urls) 
  VALUES(uuid_generate_v4(), $1, $2, $3, $4) 
  RETURNING *
`;
// 将参数放入数组，驱动会自动处理转义和注入防护
const values = [req.user.id, title, content, realImages];
// 执行查询
const result = await pool.query(queryText, values);

其他数据库驱动（如mysql2、sqlite3等）也有类似的参数化语法，比如?作为占位符，核心逻辑一致。

如果非要手动处理单引号转义（不推荐）

如果你只是想实现单引号转成两个单引号的功能，用JavaScript原生的String.replace()即可，不需要遍历或额外npm包：

function escapeSingleQuotes(str) {
  // 处理null/undefined情况，避免报错
  return str ? str.replace(/'/g, "''") : str;
}

// 使用示例
const escapedTitle = escapeSingleQuotes(title);
const escapedContent = escapeSingleQuotes(content);

但再次强调：这种方法无法完全避免SQL注入，仅解决单引号报错问题，安全风险依然存在。