Проблема с Apostrophe

Question

У меня есть Proc, который был закодирован в Dynamic SQl для одного из моих приложений. Он использует для поиска Заявителей с их фамилией. Сейчас он ищет заявителей либо с их первыми двумя цифрами своей фамилии, либо с полной фамилией. Но у меня проблема поиска кандидатов, у которых есть Apostrophe в их фамилии (пример O'Connor). Если клиент пытается найти заявителя с помощью O 'или O'Connor, он выдает ошибку. Они хотят искать каждого Заявителя с или без Апострофа в их фамилии. Помогите, я попробовал все, но не работает. Ниже мой поиск кода, используя в Proc вытащить заявителей:

Добавить символы при необходимости

if Rtrim(@FirstName) <> '' 
begin 
    If(Len(@FirstName) < 30) and (CharIndex('%', @FirstName) = 0) and @FirstName != '' 
     Set @FirstName = char(39) + @FirstName + '%' + char(39) 
end 

if Rtrim(@LastName) <> '' 
begin 
    If(Len(@LastName) < 60) and (CharIndex('%', @LastName) = 0) and @LastName != '' 
    Set @LastName = Char(39) + @LastName + '%' + char(39) 
end 

Теперь построить динамически фильтр базы на входных параметров

if Rtrim(@LastName) <> '' 
select @Where = @Where + ' and a.LastName like '+ Rtrim(@LastName) 

Answer 1

Вам нужно бежать apostrophe во входной строке (в основном заменить один «на два»), когда вы создаете строку SQL

Вы должны обратить внимание на это где угодно se, чтобы передать пользовательский ввод в базу данных SQL Server как проблему безопасности (SQL Injection Attacks) c.f. Bobby Tables

if Rtrim(@LastName) <> '' 
select @Where = @Where + ' and a.LastName like '+ Replace(Rtrim(@LastName),'''','''''') + '' 

Answer 2

Мое предложение, чтобы написать запрос, чтобы содержать альтернативный столбец, который будет использоваться для фильтрации с апострофом/одиночной кавычки заменены любым специальным символом, такие как #. Это позволяет оставить исходный столбец неповрежденным, если вы хотите его отобразить.

Для этого в SQL Server, вы могли бы сделать что-то вроде этого:

Select 
    tbl.strName_Last, 
    REPLACE(tblOrder.strName_Last, '''','#')) as StrLastNameForFilter 
    .... 

Затем измените код на фильтр на основе этой альтернативной колонке, и в предоставленной пользователем строке фильтра, заменить апостроф/одиночная кавычка со специальным символом.