Come evitare le virgolette singole per l'inserimento SQL ... quando la stringa da inserire è in una variabile generata dall'utente

Question

Sto costruendo un comando di inserimento da eseguire usando jdbc. Parte di esso è quello di concatenare una stringa di user generated ... funziona tutto questo finché l'utente non utilizza una stringa come questa:

a'bcd

String userString="a'bcd"; 
String insertTableSQL = "INSERT INTO myTable " 
          + "(insertColumn) " 
          + "VALUES(" 
           +"'"+userString+"'" 
           +")"; 

statement.executeUpdate(insertTableSQL); 

Answer 1

Si può procedere in uno dei seguenti:

1. Utilizzare istruzione preparata. (consigliati)

   String userString="a'bcd"; 
   String myStatement = " INSERT INTO MYTABLE (INSERTCOLUMN) VALUES (?)"; 
   PreparedStatement statement= con.prepareStatement (myStatement); 
   statement.setString(1,userString); 
   statement.executeUpdate(); 
   

2. sfuggire alle singole citazioni.

   In SQL, le virgolette singole vengono sfuggite utilizzando doppie virgolette singole. ' ->''

   String userString="a'bcd"; 
   String changedUserString = userString.replace("'","''"); 
        //changedUserString = a''bcd 
   String insertTableSQL = "INSERT INTO myTable (insertColumn) VALUES(" 
            +" '"+changedUserString +"')"; 
   

Answer 2

È possibile utilizzare StringEscapeUtils fornito da Java StringEscapeUtils Usando questo si può sfuggire personaggi di HTML, XML, etc.look mysql per il metodo escapeXXX per il vostro scopo. Per riferimento - When i need to escape Html string? Eg:

String str = FileUtils.readFileToString(new File("input.txt")); 
     String results = StringEscapeUtils.escapeHtml(str); 
     System.out.println(results); 

ingresso:

<sometext> 
Here is some "Text" that I'd like to be "escaped" for HTML 
& here is some Swedish: Tack. Vars?god. 
</sometext> 

uscita:

<sometext> 
Here is some "Text" that I'd like to be "escaped" for HTML 
& here is some Swedish: Tack. Varsågod. 
</sometext> 

Answer 3

Ecco un'altra opzione:

Utilizzare un metodo nativo Android progettato per esattamente questo pu rpose:

DatabaseUtils.sqlEscapeString(String) 

Ecco la documentazione per esso on-line:

• sqlEscapeString() on Android Developers

Il vantaggio principale di questo metodo, a mio parere, è l'auto-documentazione a causa della cancellare il nome del metodo.

---

String userString="a'bcd"; 
String insertTableSQL = "INSERT INTO myTable " 
          + "(insertColumn) " 
          + "VALUES(" 
           +"'"+DatabaseUtils.sqlEscapeString(userString)+"'" 
           +")"; 

statement.executeUpdate(insertTableSQL);