如何优化代码避免引号输入的SQL语法错误并防范SQL注入？

DevOps 小满

2026-8-18

如何同时防范SQL注入并支持含引号的输入

要彻底解决这个问题，绝对不要用字符串拼接的方式构造SQL语句，核心方案是使用参数化查询（Prepared Statements）——这是业界公认的防SQL注入标准方案，同时能完美兼容含引号的输入，不会引发语法错误。

为什么参数化查询有效

参数化查询会将SQL的逻辑结构和用户输入的数据完全分离：数据库先编译SQL模板（其中用占位符代替用户输入的位置），再单独传入用户输入的数据。输入里的引号、特殊字符都会被当作普通数据处理，不会被解析成SQL语法的一部分，从根源避免了注入风险和引号导致的语法错误。

主流语言的实现示例

Python（MySQL为例，使用mysql-connector）

import mysql.connector

db = mysql.connector.connect(host="localhost", user="user", password="pass", database="db")
cursor = db.cursor(prepared=True)

# 用%s作为占位符，传入含引号的输入
user_input = "O'Neil"
sql = "SELECT * FROM users WHERE name = %s"
cursor.execute(sql, (user_input,))

result = cursor.fetchall()

Java（JDBC）

String userInput = "O'Neil";
String sql = "SELECT * FROM users WHERE name = ?";

try (Connection conn = DriverManager.getConnection(url, user, pass);
     PreparedStatement pstmt = conn.prepareStatement(sql)) {
    pstmt.setString(1, userInput); // 传入含引号的输入
    ResultSet rs = pstmt.executeQuery();
}

PHP（PDO）

$userInput = "O'Neil";
$pdo = new PDO("mysql:host=localhost;dbname=db", "user", "pass");

$sql = "SELECT * FROM users WHERE name = :name";
$stmt = $pdo->prepare($sql);
$stmt->bindParam(':name', $userInput);
$stmt->execute();

$result = $stmt->fetchAll();