Вывод запроса одиночной кавычки

Question

У меня возникла проблема ввода одной кавычки в sql-запросе. Запрос ниже.

Dim query As String = "insert into users(comment) values ('" & txt_comment.Text & "')" 

Он отлично работает. Однако, когда пользователь вводит единичные данные кода в текстовое поле, запрос выходит из строя. Введите пример, например, «henry's». Кто-нибудь хотел бы предложить мне, что мне делать? Заранее спасибо

Answer 1

Вы должны дублировать кавычки:

Dim query As String = "insert into users(comment) values ('" & txt_comment.Text.replace("'","''") & "')" 

Answer 2

USE PARAMETERISED QUERIES!!

Извините кричать, но я не могу не подчеркнуть, насколько это важно. Пример, который вы дали "Henry's", на самом деле является ручным примером и просто вызовет запрос. Кто-то может ввести "Henry'; DROP TABLE users;--", и теперь вы потеряли таблицу своих пользователей.

Даже если у вас есть ограниченный вход, например выпадающий список, вы все равно должны использовать параметризованные запросы, поскольку они позволяют значительно упростить ввод текста, а также позволяют использовать планы запросов из кеша.

Я не использовал VB.NET в годы, так что простите любые синтаксические ошибки, но я думаю, что вы хотите что-то вроде:

Dim query As String = "insert into users(comment) values (@Comment);" 

Using connection As New SqlConnection("Your Connection String") 
    Using command As New SqlCommand(query, connection) 

     command.Parameters.Add("@Comment", SqlDbType.VarChar, 255).Value = txt_comment.Text 
     command.ExecuteNonQuery() 
    End Using 
End Using