SQL单引号值追加问题：含单引号@fname输入异常如何修复？

嗨，这个问题我太熟了——单引号在SQL里是字符串的边界标记，当你的参数@fname里自带单引号时，数据库会误把它当成字符串的结束符，自然就抛出语法错误了。下面分两种方案给你说明：

一、临时应急：少量修改修复单引号问题 #

如果你的现有代码是动态拼接SQL字符串的方式，只需要在拼接前把参数里的单个单引号替换成两个单引号（SQL里用两个单引号表示一个实际的单引号）。

举个SQL Server的例子，原来的代码可能是这样：

DECLARE @fname NVARCHAR(50) = 'O''Neil' -- 模拟带单引号的输入
DECLARE @sql NVARCHAR(MAX) = 'SELECT * FROM users WHERE fname = ''' + @fname + ''''
EXEC sp_executesql @sql

修改后：

DECLARE @fname NVARCHAR(50) = 'O''Neil'
DECLARE @sql NVARCHAR(MAX) = 'SELECT * FROM users WHERE fname = ''' + REPLACE(@fname, '''', '''''') + ''''
EXEC sp_executesql @sql

这里用REPLACE(@fname, '''', '''''')把参数里的每个单引号替换成两个，数据库就能正确识别为字符串的一部分了。

二、更优实现：参数化查询（强烈推荐） #

上面的临时修复只是权宜之计，参数化查询才是解决这类问题的根本方案——它不仅能自动处理单引号等特殊字符，还能彻底避免SQL注入风险，是工业界的标准做法。

数据库端的参数化示例（以SQL Server为例） #

直接用sp_executesql传递参数，不需要手动拼接字符串：

DECLARE @fname NVARCHAR(50) = 'O''Neil'
DECLARE @sql NVARCHAR(MAX) = 'SELECT * FROM users WHERE fname = @ParamFname'
-- 定义参数并传递值
EXEC sp_executesql @sql, N'@ParamFname NVARCHAR(50)', @ParamFname = @fname

应用程序端的参数化示例（以C#为例） #

如果是在应用代码里调用SQL，用自带的参数化命令对象：

string fname = "O'Neil";
string query = "SELECT * FROM users WHERE fname = @fname";

using (SqlConnection conn = new SqlConnection("你的连接字符串"))
{
    conn.Open();
    using (SqlCommand cmd = new SqlCommand(query, conn))
    {
        // 添加参数并赋值，框架自动处理特殊字符
        cmd.Parameters.AddWithValue("@fname", fname);
        SqlDataReader reader = cmd.ExecuteReader();
        // 处理查询结果
    }
}

参数化查询的核心是让数据库把参数当成数据而非SQL代码的一部分，从根源上避免了语法错误和注入风险，比手动替换单引号靠谱得多。

内容的提问来源于stack exchange，提问作者Peru