密码存储应用开发：拼接SQL插入特殊字符触发未闭合引号错误

你遇到的报错完全来自直接拼接字符串生成SQL语句的实现方式：

• 当用户录入的文件内容包含单引号这类SQL字符串边界标识时，拼接生成的SQL会被提前截断，语法结构完全错乱，直接触发“未闭合引号”“附近语法错误”类的SqlException
• 这种写法存在极高的SQL注入安全风险，完全不满足密码存储类应用的安全要求

使用参数化查询完成数据库插入操作：

• SQL的执行逻辑提前固定，数据库会将用户传入的内容作为纯值处理，不会将内容解析为SQL语法片段，无论输入的内容包含单引号、双引号、斜杠、括号等任何特殊字符，都能和用户实际录入的内容完全一致存入数据库
• 从根源上规避SQL注入风险，无需手动对特殊字符做转义替换

将原来拼接SQL的部分替换为参数化写法，调整后的关键逻辑如下：

connection.Open();
// 固定SQL结构，所有动态值使用参数占位符传递
string insertSql = @"INSERT INTO [Files] 
                    (FileName, ExtensionType, FileContent, DateAdded, UserId)
                    VALUES 
                    (@FileName, @Extension, @Content, @AddTime, @BindUser)";
cmd = new SqlCommand(insertSql, connection);
// 逐一对参数赋值，无需做任何特殊字符处理
cmd.Parameters.AddWithValue("@FileName", fname);
cmd.Parameters.AddWithValue("@Extension", extensionType);
cmd.Parameters.AddWithValue("@Content", content);
cmd.Parameters.AddWithValue("@AddTime", DateTime.Now); // 直接传DateTime类型存储比转成字符串更规范
cmd.Parameters.AddWithValue("@BindUser", forUser);
cmd.ExecuteNonQuery();
connection.Close();

// 原代码重复触发两次成功提示，删除多余的重复行
this.Alert("File Created Successfully");

• 数据库中存储文件内容的字段建议设置为NVARCHAR(MAX)类型，无需硬限制8000字符长度，对大段文本的兼容性更好
• 不要通过手动将用户输入的单引号替换为两个单引号的方式修复语法问题，这类写法仍然存在注入风险，且可能导致存入的内容和用户实际录入的内容不一致

内容的提问来源于stack exchange，提问作者Zwakele Sibisi