Chèn văn bản với dấu ngoặc đơn trong PostgreSQL

Tôi có một cái bàn test(id,name).

Tôi cần phải chèn giá trị như: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Tôi gặp lỗi nếu tôi chạy bất kỳ câu lệnh nào ở trên.

Nếu có bất kỳ phương pháp để làm điều này một cách chính xác xin vui lòng chia sẻ. Tôi không muốn bất kỳ tuyên bố chuẩn bị.

Có thể sử dụng cơ chế thoát sql?

Chuỗi ký tự

Thoát các trích dẫn đơn 'bằng cách nhân đôi chúng lên -> ''là cách tiêu chuẩn và hoạt động tất nhiên:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

Trong các phiên bản cũ hoặc nếu bạn vẫn chạy với standard_conforming_strings = offhoặc, nói chung, nếu bạn thêm chuỗi của bạn Eđể khai báo cú pháp chuỗi thoát Posix , bạn cũng có thể thoát bằng dấu gạch chéo ngược \:

E'user\'s log'

Backslash chính nó được thoát với một dấu gạch chéo ngược khác. Nhưng điều đó thường không thích hợp hơn.
Nếu bạn phải xử lý nhiều trích dẫn đơn hoặc nhiều lớp thoát, bạn có thể tránh trích dẫn địa ngục trong PostgreQuery bằng các chuỗi được trích dẫn bằng đô la :

'escape '' with '''''
$$escape ' with ''$$

Để tránh nhầm lẫn hơn giữa các trích dẫn đô la, hãy thêm một mã thông báo duy nhất cho mỗi cặp:

$token$escape ' with ''$token$

Mà có thể được lồng bất kỳ số cấp:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

Hãy chú ý nếu $nhân vật nên có ý nghĩa đặc biệt trong phần mềm máy khách của bạn. Bạn có thể phải thoát nó ngoài. Đây không phải là trường hợp với các máy khách PostgreSQL tiêu chuẩn như psql hoặc pgAdmin.

Đó là tất cả rất hữu ích để viết các hàm plpgsql hoặc các lệnh SQL ad-hoc. Tuy nhiên, điều đó không thể làm giảm nhu cầu sử dụng các câu lệnh đã chuẩn bị hoặc một số phương pháp khác để bảo vệ chống lại việc tiêm SQL trong ứng dụng của bạn khi có thể nhập dữ liệu của người dùng. @ Câu trả lời của Craig có nhiều hơn về điều đó. Thêm chi tiết:

• SQL SQL trong các hàm Postgres so với các truy vấn đã chuẩn bị

Giá trị bên trong Postgres

Khi xử lý các giá trị bên trong cơ sở dữ liệu, có một vài hàm hữu ích để trích dẫn đúng chuỗi:

• quote_literal()hoặcquote_nullable() - cái sau xuất chuỗi NULLcho đầu vào null. (Ngoài ra còn có quote_ident()tới hai quote chuỗi nơi cần thiết để có được SQL hợp lệ định .)
• format()với định dạng định dạng %Ltương đương với quote_nullable().
  Giống:format('%L', string_var)
• concat()hoặcconcat_ws() thường không tốt vì chúng không thoát khỏi dấu ngoặc đơn và dấu gạch chéo ngược.

Điều này là rất nhiều thế giới xấu, bởi vì câu hỏi của bạn ngụ ý rằng bạn có thể có lỗ hổng SQL tiêm trong ứng dụng của bạn.

Bạn nên sử dụng các câu lệnh tham số. Đối với Java, sử dụng PreparedStatementvới trình giữ chỗ . Bạn nói rằng bạn không muốn sử dụng các câu lệnh được tham số hóa, nhưng bạn không giải thích tại sao , và thật lòng mà nói, đó là một lý do rất tốt để không sử dụng chúng vì chúng là cách đơn giản nhất, an toàn nhất để khắc phục sự cố bạn đang cố gắng để giải quyết.

Xem phần Ngăn chặn SQL SQL trong Java . Đừng là nạn nhân tiếp theo của Bobby .

Không có chức năng công khai trong PGJDBC để trích dẫn và thoát chuỗi. Đó là một phần bởi vì nó có thể làm cho nó có vẻ như là một ý tưởng tốt.

Có được xây dựng trong trích dẫn các chức năng quote_literalvà quote_identtrong PostgreSQL, nhưng họ là dành cho PL/PgSQLchức năng sử dụng EXECUTE. Ngày nay, quote_literalhầu hết đã bị lỗi thời EXECUTE ... USING, đó là phiên bản được tham số hóa , bởi vì nó an toàn và dễ dàng hơn . Bạn không thể sử dụng chúng cho mục đích bạn giải thích ở đây, vì chúng là các chức năng phía máy chủ.

Hãy tưởng tượng điều gì xảy ra nếu bạn nhận được giá trị ');DROP SCHEMA public;--từ một người dùng độc hại. Bạn sẽ sản xuất:

insert into test values (1,'');DROP SCHEMA public;--');

trong đó chia thành hai tuyên bố và một nhận xét bị bỏ qua:

insert into test values (1,'');
DROP SCHEMA public;
--');

Rất tiếc, có cơ sở dữ liệu của bạn.

Theo tài liệu PostgreSQL (4.1.2.1. Hằng chuỗi) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Xem thêm tham số standard_conforming_strings , điều khiển xem việc thoát với dấu gạch chéo ngược có hoạt động hay không.

Trong postgresql nếu bạn muốn chèn các giá trị 'trong đó thì bạn phải cung cấp thêm'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

bạn có thể sử dụng hàm postrgesql chr (int):

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Nếu bạn cần hoàn thành công việc bên trong PG:

to_json(value)

https://www.postgresql.org/docs/9.3/static/fifts-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')