如何执行SQL查询匹配含单引号的列值？C#参数化查询未返回结果排查

• 你当前使用的参数化查询写法，本身已经可以自动处理值里包含单引号、反斜杠这类特殊字符的场景，完全不需要手动对单引号做转义，不存在因为值带单引号导致查询失效的问题。
• 查询没有返回结果的核心问题出在参数类型配置上：你给查询参数指定了System.Data.SqlDbType.NChar类型，这是SQL Server的定长字符串类型，会按照列定义的固定长度，自动给传入的短字符串补尾随空格。比如CustomerAccountNumber列如果是长度20的NCHAR类型，你传入的KKL'M"/只有6位长度，参数传到SQL端的时候会被自动补14个尾随空格，和数据库里存储的不带多余空格的实际值无法匹配。
• 同时你创建参数的时候没有手动指定参数长度，会让SqlClient按照传入字符串的实际长度适配NCHAR的填充规则，进一步放大匹配偏差。

具体修正操作 #

• 把参数类型调整为和实际表列匹配的变长字符串类型：如果列是Unicode存储就用NVarChar，非Unicode就用VarChar，这类类型不会自动补尾随空格，会严格按照传入的实际值做匹配。
• 手动给参数指定和数据库列一致的长度，避免参数在传输过程中出现截断。

修正后的参数添加代码示例 #

// 替换原来的参数实例化逻辑
SqlParameter matchingParam = new SqlParameter("@matchingAccountName", System.Data.SqlDbType.NVarChar, 50)
{
    Value = matchingid
};
command.Parameters.Add(matchingParam);

补充说明：就算不使用参数化、直接拼接SQL字符串，只要把待匹配值里的单个单引号替换为两个连续单引号，也能实现带单引号值的匹配，但这种写法存在SQL注入风险，完全不推荐使用。你现在用的参数化写法本身是规避安全问题的正确方案，不需要改动SQL拼接逻辑。

内容的提问来源于stack exchange，提问作者Harish Kumar