แทรกข้อความด้วยเครื่องหมายคำพูดเดี่ยวใน PostgreSQL

test(id,name)ผมมีตาราง

user's logฉันจำเป็นต้องใส่ค่าที่ชอบ: 'my user', customer's,

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

ฉันได้รับข้อผิดพลาดหากฉันเรียกใช้คำสั่งใด ๆ ข้างต้น

หากมีวิธีการใด ๆ ที่จะทำอย่างถูกต้องกรุณาแบ่งปัน ฉันไม่ต้องการข้อความใด ๆ ที่เตรียมไว้

เป็นไปได้โดยใช้กลไกการหลบหนี sql?

สตริงตัวอักษร

หลีกเลี่ยงคำพูดเดียว'โดยเพิ่มเป็นสองเท่า -> ''เป็นวิธีมาตรฐานและผลงานแน่นอน:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

ในเวอร์ชันเก่าหรือหากคุณยังคงรันด้วยstandard_conforming_strings = offหรือโดยทั่วไปถ้าคุณเติมสตริงของคุณด้วยEเพื่อประกาศไวยากรณ์สตริงการยกเว้น Posixคุณสามารถหลบหลีกด้วยแบ็กสแลช\:

E'user\'s log'

แบ็กสแลชตัวเองจะหนีด้วยแบ็กสแลชอีกตัว แต่โดยทั่วไปไม่เป็นที่นิยม
หากคุณต้องจัดการกับคำพูดเดียวหลาย ๆ คำหรือหลายเลเยอร์การหลบหนีคุณสามารถหลีกเลี่ยงการอ้างถึงนรกใน PostgreSQL ด้วยสตริงที่เสนอราคาดอลลาร์ :

'escape '' with '''''
$$escape ' with ''$$

เพื่อหลีกเลี่ยงความสับสนเพิ่มเติมระหว่างราคาดอลลาร์ให้เพิ่มโทเค็นที่ไม่ซ้ำกันในแต่ละคู่:

$token$escape ' with ''$token$

ซึ่งสามารถซ้อนหลายระดับ:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

ให้ความสนใจหาก$ตัวละครควรมีความหมายพิเศษในซอฟต์แวร์ไคลเอ็นต์ของคุณ คุณอาจต้องหลบหนีมันเพิ่มเติม นี่ไม่ใช่กรณีของไคลเอนต์ PostgreSQL มาตรฐานเช่น psql หรือ pgAdmin

นั่นคือทั้งหมดที่มีประโยชน์มากสำหรับการเขียนฟังก์ชั่น plpgsql หรือคำสั่ง ad-hoc SQL ไม่สามารถลดความจำเป็นในการใช้คำสั่งที่เตรียมไว้หรือวิธีอื่นเพื่อป้องกันการฉีด SQL ในแอปพลิเคชันของคุณเมื่อเป็นไปได้ที่ผู้ใช้ป้อนข้อมูล @ Craig ตอบได้มากกว่านี้ รายละเอียดเพิ่มเติม:

• การฉีด SQL ในฟังก์ชัน Postgres กับเคียวรีที่เตรียมไว้

ค่าภายใน Postgres

เมื่อจัดการกับค่าในฐานข้อมูลมีฟังก์ชั่นที่มีประโยชน์สองอย่างเพื่ออ้างอิงสตริงอย่างถูกต้อง:

• quote_literal()หรือquote_nullable() - หลังเอาท์พุทสตริงNULLสำหรับอินพุตว่าง (นอกจากนี้ยังมีquote_ident()การอ้างดับเบิลสตริงที่จำเป็นต้องได้รับ SQL ที่ถูกต้องตัวระบุ .)
• format()ด้วยการระบุรูปแบบเทียบเท่ากับ%L ชอบ:quote_nullable()
format('%L', string_var)
• concat()หรือconcat_ws()โดยทั่วไปจะไม่ดีเนื่องจากคำเหล่านั้นไม่สามารถหลีกเลี่ยงคำพูดซ้อนและแบ็กสแลชเดี่ยว

นี่เป็นโลกที่แย่มากเพราะคำถามของคุณบอกเป็นนัยว่าคุณอาจมีช่องโหว่ในการฉีด SQLในแอปพลิเคชันของคุณ

คุณควรใช้คำสั่งที่กำหนดพารามิเตอร์ สำหรับ Java, ใช้กับตัวยึดPreparedStatement คุณบอกว่าคุณไม่ต้องการใช้ข้อความที่มีพารามิเตอร์ แต่คุณไม่ได้อธิบายว่าทำไมและตรงไปตรงมามันต้องมีเหตุผลที่ดีมากที่จะไม่ใช้มันเพราะมันเป็นวิธีที่ง่ายและปลอดภัยที่สุดในการแก้ไขปัญหาที่คุณพยายาม เพื่อแก้ปัญหา

ดูการป้องกัน SQL Injection ในชวา อย่าตกเป็นเหยื่อคนต่อไปของบ๊อบบี้

ไม่มีฟังก์ชั่นสาธารณะใน PgJDBC สำหรับการอ้างอิงสตริงและการหลบหนี ส่วนหนึ่งเป็นเพราะอาจทำให้ดูเหมือนเป็นความคิดที่ดี

มีอยู่ในตัว quoting ฟังก์ชั่นquote_literalและquote_identใน PostgreSQL แต่พวกเขาสำหรับฟังก์ชั่นการใช้งานPL/PgSQL EXECUTEวันนี้quote_literalไม่มีจำหน่ายแล้วโดยส่วนใหญ่EXECUTE ... USINGซึ่งเป็นรุ่น parameterisedเพราะมันปลอดภัยมากขึ้นและง่ายขึ้น คุณไม่สามารถใช้เพื่อจุดประสงค์ที่คุณอธิบายได้ที่นี่เนื่องจากเป็นฟังก์ชันฝั่งเซิร์ฟเวอร์

ลองจินตนาการว่าจะเกิดอะไรขึ้นถ้าคุณได้รับคุณค่า');DROP SCHEMA public;--จากผู้ใช้ที่เป็นอันตราย คุณจะผลิต:

insert into test values (1,'');DROP SCHEMA public;--');

ซึ่งแบ่งออกเป็นสองข้อความและความคิดเห็นที่ถูกละเว้น:

insert into test values (1,'');
DROP SCHEMA public;
--');

อ๊ะมีฐานข้อมูลของคุณอยู่

ตามเอกสารของ PostgreSQL (4.1.2.1. ค่าคงที่สตริง) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

ดูเพิ่มเติมที่พารามิเตอร์standard_conforming_stringsซึ่งควบคุมว่าการหลบหลีกด้วยแบ็กสแลชทำงานได้หรือไม่

ใน postgresql ถ้าคุณต้องการแทรกค่าลงไป'ในนั้นคุณต้องให้ค่าพิเศษ'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

คุณสามารถใช้ฟังก์ชั่น postrgesql chr (int):

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

หากคุณต้องการทำงานให้สำเร็จภายใน Pg:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')