Вставте текст з одинарними лапками в PostgreSQL

У мене стіл test(id,name).

Мені потрібно вставити значення , як: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Я отримую помилку, якщо запускаю будь-яке з перерахованих вище тверджень.

Якщо є якийсь спосіб зробити це правильно, будь ласка, поділіться. Я не хочу будь-яких підготовлених заяв.

Чи можливо за допомогою механізму евакуації sql?

Строкові літерали

Уникнення одинарних лапок ', подвоєння їх -> ''- це стандартний спосіб і звичайно:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

У старих версіях або, якщо ви все ще працюєте з, standard_conforming_strings = offабо, як правило, якщо ви додаєте рядок Eдо оголошення синтаксису рядового рядка Posix , ви також можете вийти за допомогою косої риски \:

E'user\'s log'

Сам зворотний косий рятунок уникнути іншим зворотним нахилом. Але це взагалі не бажано.
Якщо вам доведеться мати справу з багатьма одинарними котируваннями або декількома шарами втечі, ви можете уникнути цитування пекла в PostgreSQL за допомогою рядків, котируваних у доларах :

'escape '' with '''''
$$escape ' with ''$$

Щоб уникнути плутанини між котируваннями доларів, додайте до кожної пари унікальний маркер:

$token$escape ' with ''$token$

Яка може бути вкладена будь-яка кількість рівнів:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

Зверніть увагу, якщо $персонаж повинен мати особливе значення у вашому клієнтському програмному забезпеченні. Можливо, вам доведеться додатково уникнути цього. Це не так у стандартних клієнтів PostgreSQL, таких як psql або pgAdmin.

Це все дуже корисно для написання функцій plpgsql або спеціальних команд SQL. Це не може полегшити необхідність використання підготовлених операторів чи іншого методу для захисту від інжекції SQL у вашій програмі, коли можливе введення користувача. @ У відповіді Крейга про це більше. Детальніше:

• Введення SQL у функції Postgres порівняно з підготовленими запитами

Значення всередині Postgres

При роботі зі значеннями всередині бази даних є кілька корисних функцій, щоб правильно цитувати рядки:

• quote_literal()абоquote_nullable() - останній виводить рядок NULLдля нульового введення. (Існує також quote_ident()в подвійні лапки рядки , де необхідно , щоб отримати дійсні SQL ідентифікатори ) .
• format()із специфікатором формату %Lеквівалентний quote_nullable().
  Подібно до:format('%L', string_var)
• concat()абоconcat_ws() , як правило, не є корисними, оскільки ті не уникають вкладених одиничних лапок та зворотних косих ринків.

Це дуже багато поганих світів, тому що ваше запитання означає, що у вашій програмі, ймовірно, у вас є розбіжні отвори для ін'єкцій SQL .

Ви повинні використовувати параметризовані оператори. Для Java використовуйте PreparedStatementіз заповнювачами . Ви говорите, що не хочете використовувати параметризовані висловлювання, але ви не пояснюєте, чому , і відверто кажучи, це має бути дуже вагомою причиною не використовувати їх, оскільки вони є найпростішим, найбезпечнішим способом вирішити проблему, яку ви намагаєтеся. вирішувати.

Див. Розділ Запобігання ін'єкції SQL на Java . Не будь Боббі наступною жертвою .

У PgJDBC немає публічної функції для цитування рядків та скасування. Це частково тому, що це може здатися гарною ідеєю.

Там є вбудовані функції процитувати quote_literalі quote_identв PostgreSQL, але вони призначені для PL/PgSQLфункцій , які використовують EXECUTE. Ці дні quote_literalв основному застаріли EXECUTE ... USING, що є параметризованою версією , оскільки це безпечніше і простіше . Ви не можете використовувати їх з метою, яку ви пояснили тут, оскільки вони функціонують на сервері.

Уявіть, що станеться, якщо ви отримаєте цінність ');DROP SCHEMA public;--від шкідливого користувача. Ви виробляєте:

insert into test values (1,'');DROP SCHEMA public;--');

який розпадається на два твердження та коментар, який ігнорується:

insert into test values (1,'');
DROP SCHEMA public;
--');

Ну, там іде ваша база даних.

Відповідно до документації PostgreSQL (4.1.2.1. Строкові константи) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Дивіться також параметр standard_conforming_strings , який керує тим, чи працює втеча з косою косою рисою.

У postgresql, якщо ви хочете вставити значення 'у нього, тоді для цього вам слід надати додаткові'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

ви можете використовувати функцію postrgesql chr (int):

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Якщо вам потрібно виконати роботу всередині Pg:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')