如何在SQL INSERT语句中插入包含单引号的数据？

嘿，这个问题我太熟了！你遇到的核心问题是数据里的单引号会破坏SQL字符串的语法结构——就像你示例里的MEL's，单引号会提前闭合SQL里的字符串常量，剩下的s tonight.就变成了无效的SQL代码，自然执行失败。而且这种直接拼接字符串的写法还存在严重的SQL注入风险，绝对不是最佳实践。

下面给你两种靠谱的解决方案，优先推荐第一种：

1. 使用参数化查询（预处理语句）——最佳实践 #

参数化查询是解决这类问题最安全、最规范的方式，它会把SQL逻辑和数据分开处理，完全避免单引号冲突和SQL注入。

示例1：PDO方式 #

如果你的项目用PDO连接数据库，代码可以这么写：

// 先确保你已经建立了PDO连接（示例配置，替换成你的实际信息）
$pdo = new PDO("mysql:host=localhost;dbname=your_database;charset=utf8mb4", "your_username", "your_password");

// 准备预处理SQL语句，用占位符代替变量
$sql = "INSERT INTO turnover(tail, discription, date) VALUES (:tail, :discription, :date)";
$stmt = $pdo->prepare($sql);

// 绑定参数并执行，PDO会自动处理单引号等特殊字符
$stmt->execute([
    ':tail' => $tail,
    ':discription' => $discription,
    ':date' => $date
]);

示例2：MySQLi方式 #

如果用MySQLi扩展，也可以实现预处理：

// 建立MySQLi连接（替换成你的实际配置）
$mysqli = new mysqli("localhost", "your_username", "your_password", "your_database");

// 准备带占位符的SQL语句
$sql = "INSERT INTO turnover(tail, discription, date) VALUES (?, ?, ?)";
$stmt = $mysqli->prepare($sql);

// 绑定变量到占位符："sss"表示三个参数都是字符串类型
$stmt->bind_param("sss", $tail, $discription, $date);

// 执行语句
$stmt->execute();

2. 手动转义特殊字符（不推荐，仅作补充） #

如果你暂时没法改用预处理语句，也可以手动转义数据里的单引号等特殊字符，但这种方式容易出错，且防注入能力弱。以MySQLi为例：

// 先对每个变量进行转义
$safe_tail = $mysqli->real_escape_string($tail);
$safe_discription = $mysqli->real_escape_string($discription);
$safe_date = $mysqli->real_escape_string($date);

// 再拼接SQL语句
$sql = "INSERT INTO turnover(tail, discription, date) VALUES ('$safe_tail', '$safe_discription', '$safe_date')";
$mysqli->query($sql);

注意：手动转义一定要确保你的数据库连接已经设置了正确的字符集，否则可能出现转义失效的情况。

总结一下，强烈推荐使用参数化查询，既解决了单引号的问题，又从根源上杜绝了SQL注入，是行业标准的写法。

内容的提问来源于stack exchange，提问作者sparkie