SQL查询中含特殊字符的动态字符串如何转义？

直接用字符串拼接SQL语句不仅会遇到单引号转义的问题，还存在严重的SQL注入风险，推荐用以下两种方式处理：

1. 参数化查询（最佳实践） #

这是最安全可靠的方式，数据库驱动会自动帮你处理所有字符转义，同时彻底避免SQL注入。以常见的Node.js数据库驱动为例：

// 使用?作为参数占位符
const sql = `INSERT INTO CHAT VALUES (?, ?)`;
// 将参数放在数组中传入query方法
DBconnection.query(sql, [id, name], (err, result) => {
  // 在这里处理查询结果或错误
});

不管name里有单引号、双引号还是其他特殊字符，驱动都会自动处理转义，无需手动操作。

2. 手动转义单引号（仅应急使用） #

如果因为特殊情况必须手动拼接字符串，可以把字符串中的单引号替换为两个单引号（SQL标准的转义方式）：

function escapeSqlStr(str) {
  // 全局替换所有单引号为两个单引号
  return str.replace(/'/g, "''");
}

const escapedName = escapeSqlStr(name);
const sql = `INSERT INTO CHAT VALUES ('${id}', '${escapedName}')`;
DBconnection.query(sql);

注意：这种方法只能处理单引号问题，无法防范SQL注入，也不能处理其他特殊字符的转义，所以仅作为临时应急方案，优先使用参数化查询。

内容的提问来源于stack exchange，提问作者Winterella