C#使用System.Data.SqlClient向SQL库插数据时，变量含单引号导致插入异常的解决方法

问题本质 #

当前采用硬拼接SQL字符串的写法，是把变量值直接嵌入到SQL语句的文本结构中。而单引号在SQL语法里是字符串常量的边界标识，当待插入的字段值本身包含单引号时，会直接打乱SQL的语法结构，导致语句解析失败；同时这种拼接写法本身也存在SQL注入的安全隐患。
不要依赖手动把单引号替换为双单引号这类临时补丁方案，这类写法既容易遗漏其他特殊字符的兼容问题，也堵不住拼接逻辑带来的安全风险。

正确实现方式 #

直接使用System.Data.SqlClient自带的参数化查询机制，将SQL语句结构和传入的参数值完全分离，SQL引擎会自动完成所有特殊字符的转义处理，从根本上解决特殊字符导致的执行失败问题。

参考实现代码 #

// 明确指定插入的列名，避免表结构调整导致的插入错位问题
string sql = @"INSERT INTO [dbo].[InvoiceHeader]
               (logNo, locationCode, invSeq, reference)
               VALUES
               (@LogNo, @LocationCode, @InvSeq, @Reference)";

using (SqlCommand command = new SqlCommand(sql, cnn))
{
    // 直接传入原始变量值，无需手动做任何特殊字符转义
    command.Parameters.AddWithValue("@LogNo", inv.logNo);
    command.Parameters.AddWithValue("@LocationCode", inv.locationCode);
    command.Parameters.AddWithValue("@InvSeq", inv.invSeq);
    command.Parameters.AddWithValue("@Reference", inv.reference);

    // 适配现有SqlDataAdapter的调用逻辑
    adapter.InsertCommand = command;
    adapter.InsertCommand.ExecuteNonQuery();
}

方案优势 #

• 兼容所有特殊字符：不管字段值中包含单引号、双引号、换行符等特殊内容，都不会破坏SQL语法结构，类似Box 20' Cont这类带单引号的值可以直接正常插入。
• 从根源规避安全风险：参数化传递的值不会被SQL引擎解析为语法逻辑的一部分，完全杜绝拼接SQL引入的注入漏洞。
• 减少冗余处理代码：不需要编写自定义的特殊字符替换逻辑，避免手动转义遗漏带来的异常。

内容的提问来源于stack exchange，提问作者Daniel Dahl