SQL語句中特殊字符的處理方法
在數據庫的使用時，經常會在sql語句中遇到一些特殊字符，那么這些字符應該如何處理呢？下面就將為您介紹SQL語句中特殊字符的處理方法，供您參考。
在sql語句中，有些特殊字符，是sql保留的。比如 ' [ ] 等。我們可以先看看它們的用法。
當需要查詢某數據時，加入條件語句，或著當你需要insert記錄時，我們用 ' 來將字符類型的數據引起來。比如：
Select * from Customers where City = 'London'
當表的名字或列的名字中，含有空格等一些特殊字符時，我們需要用[] 將表名引起來，告訴語法分析器，[]號內的才是一個完整的名稱。比如
Select * from [Order Details]
如果，字符數據中，含有 ' 改怎么辦呢？其實，好多人在這里并沒有處理字符川中 ' 符號，才造成sql 注射危險。就那上面的那個例子。在Sql語句拼接的時代，比如
string sql = "select * from Customers where CustomerID = '" + temp + "'";
如果，我給temp賦值為 Tom' or 1=1 ---
那么你拼接起來的語句為 select * from Customers where CustomerID = 'Tom' or 1=1 --- '
哈哈，1=1 衡為真，---會把后面的sql語句注釋掉。而前面因為有輸入的 ' 而使的語句是合法的。那or的條件，會把所有的記錄都選出來。這就是sql注入。在做用戶登陸時，如果沒有處理該問題，那你的系統受危害的可能性會很高的。
如何處理字符數據中的 ' 符號呢？ 方法很簡單，用兩個 ' 符號代替一個。 比如，其實際傳入的值為Lon'don，處理后為
Select * from Customers where City = 'Lon''don'
就可以了。
如果表或列的名稱中含有 [ 或 ] 字符呢？比如Select * from [Order] Details]，那中間 ] 符號豈不是先和***個[ 配了。后面的就是非法的了。怎么辦呢？ 簡單，使用 ]] 代替 ] 。對于[，則無須處理。那就該為
Select * from [Order]] Details]。
【編輯推薦】
