一个简单的SQL问题:使用包含'字符的文本字符串创建SQL插入语句

Question

我遵循的语法

INSERT INTO Table1
VALUES (value1, value2, value3…)

到目前为止这个工作得很好.但现在我有一些包含普通英文文本的值,比如"我要回家了".'字符破坏了C#中的SQL命令.我写了以下内容:

command.CommandText = "INSERT INTO Bio VALUES ('" + name + "','"I'm going home" + "');

评估为

INSERT INTO Bio VALUES ('Peter','I'm going home')

这显然是行不通的.如何确保特殊字符不会破坏SQL语句？

Answer 1

使用SqlParameter在上帝的份.否则,您的程序将容易受到SQL注入攻击.它还将解决您的特殊字符问题.