SQL Server含单引号传入参数处理及TestComplete循环查询问题

嘿，这两个问题我熟，给你一步步拆解解决：

处理这类问题的最佳实践永远是用参数化查询，既安全（防SQL注入）又不用手动折腾单引号的替换，SQL Server会自动帮你处理参数里的特殊字符。

• 用存储过程：定义带参数的存储过程，调用时直接传值就行，比如：

  CREATE PROCEDURE GetCompanyByAddress
      @CompanyAddress NVARCHAR(255)
  AS
  BEGIN
      SELECT * FROM YourTable WHERE Address = @CompanyAddress;
  END
  

  调用的时候不管参数里有没有单引号，都直接传，完全不用额外处理。

• 应用层参数化命令：不管你用什么语言（包括TestComplete里的脚本），都可以用带参数的SQL命令，而不是直接拼接字符串。这种方式同样会让SQL Server自动处理单引号。

如果因为某些原因必须拼接SQL字符串（非常不推荐，有注入风险），那可以用REPLACE函数把单引号替换成两个单引号（SQL Server里用两个单引号表示转义后的单引号）：

DECLARE @Input NVARCHAR(255) = O'Neil';
DECLARE @SafeInput NVARCHAR(255) = REPLACE(@Input, '''', '''''');
DECLARE @SQL NVARCHAR(MAX) = 'SELECT * FROM YourTable WHERE Address = ''' + @SafeInput + '''';
EXEC sp_executesql @SQL;

你提到用REPLACE但第二次循环还是有问题，大概率是替换的时机或者方式不对，给你两个靠谱的方案：

方案1：用TestComplete的参数化查询（推荐） #

别再手动拼接SQL了，TestComplete支持ADO的参数化命令，完美解决单引号问题，还能复用查询语句。举个JScript的例子：

// 提前创建好ADO连接和命令对象（可以放在循环外面，复用）
var conn = ADO.CreateConnection();
conn.Open("你的SQL Server连接字符串");
var cmd = ADO.CreateCommand();
cmd.ActiveConnection = conn;
// 定义带参数的查询语句，这里用?作为参数占位符（或者用@参数名，看驱动）
cmd.CommandText = "SELECT * FROM Companies WHERE Address = ?";

// 循环处理每个company变量
for (var i = 0; i < companyList.length; i++) {
    var currentCompany = companyList[i];
    // 清空之前的参数，然后添加当前参数
    cmd.Parameters.Delete(0); // 删除第一个参数（如果之前有）
    cmd.Parameters.Append(cmd.CreateParameter("", adVarChar, adParamInput, 255, currentCompany));
    // 执行查询
    var rs = cmd.Execute();
    // 处理结果...
    rs.Close();
}

// 最后关闭连接
conn.Close();

这样每次循环只需要更新参数值，完全不用管单引号，TestComplete和SQL Server会自动处理转义。

方案2：正确使用REPLACE做字符串拼接（不推荐，但应急可用） #

如果你一定要用拼接的方式，那每次循环都要对当前的company变量重新做全局替换，不能只处理一次。比如之前可能只替换了第一个单引号，或者循环中复用了已经替换过的变量，导致第二次循环出错。

用JScript的话，要这样写：

// 假设CompanyAddress是你从其他脚本拿到的查询模板，比如"SELECT * FROM Companies WHERE Address = '{company}'"
var sqlTemplate = CompanyAddress;

for (var i = 0; i < companyList.length; i++) {
    var currentCompany = companyList[i];
    // 对当前变量做全局替换，把所有单引号换成两个单引号
    var safeCompany = currentCompany.replace(/'/g, "''");
    // 替换模板里的占位符
    var finalSql = sqlTemplate.replace("{company}", safeCompany);
    // 执行finalSql...
}

这里关键是replace(/'/g, "''")里的/g表示全局替换，不然只会替换第一个单引号，这可能就是你第二次循环出问题的原因。

内容的提问来源于stack exchange，提问作者Dan