在PostgreSQL中插入带单引号的文本

我有一张桌子test(id,name)。

我需要插入值，如： user's log，'my user'，customer's。

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

如果我运行以上任何语句，都会收到错误消息。

如果有任何方法可以正确执行此操作，请分享。我不要任何准备好的陈述。

是否可以使用sql转义机制？

字符串文字

'通过将单引号加倍-> ''来转义单引号是标准方法，当然可以：

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

在旧版本中，或者如果您仍然使用standard_conforming_strings = off或运行，或者通常情况下，如果在字符串前面加上E声明Posix转义字符串语法，则还可以使用反斜杠进行转义\：

E'user\'s log'

反斜杠本身会被另一个反斜杠转义。但这通常不是可取的。
如果必须处理多个单引号或多个转义符，则可以避免在PostgreSQL中用美元引号引起来的字符串引用地狱：

'escape '' with '''''
$$escape ' with ''$$

为了进一步避免美元报价之间的混淆，请为每对报价添加唯一的令牌：

$token$escape ' with ''$token$

可以嵌套任何数量的级别：

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

如果$字符在客户端软件中应具有特殊含义，请注意。您可能还必须转义它。标准PostgreSQL客户端（例如psql或pgAdmin）不是这种情况。

这对于编写plpgsql函数或临时SQL命令非常有用。但是，当可以进行用户输入时，它不能减轻使用准备好的语句或其他方法来防止在应用程序中进行SQL注入的需要。@Craig的答案还有更多。更多细节：

• Postgres函数中的SQL注入与准备好的查询

Postgres内部的值

在处理数据库内部的值时，有几个有用的函数可以正确地引用字符串：

• quote_literal()或quote_nullable() -后者输出NULL用于空输入的字符串。（在需要有效的SQL 标识符的地方，也quote_ident()需要双引号。）
• format()格式说明符%L与等效quote_nullable()。
  喜欢：format('%L', string_var)
• concat()或concat_ws()通常不好用，因为它们不能转义嵌套的单引号和反斜杠。

这真是个坏世界，因为您的问题暗示您可能在应用程序中存在大量的SQL注入漏洞。

您应该使用参数化语句。对于Java，请使用PreparedStatement占位符。您说您不想使用参数化的语句，但是您没有解释为什么，坦率地说，不使用它们必须是一个很好的理由，因为它们是解决您正在尝试的问题的最简单，最安全的方法解决。

请参阅防止Java中的SQL注入。不要成为Bobby的下一个受害者。

PgJDBC中没有用于字符串引用和转义的公共函数。部分原因是它可能使它看起来像一个好主意。

有是内置的报价功能quote_literal和quote_identPostgreSQL中，但它们对于PL/PgSQL函数使用EXECUTE。这些天quote_literal主要是由废弃EXECUTE ... USING，这是参数化的版本，因为它是更安全和更方便。您不能将它们用于此处说明的目的，因为它们是服务器端功能。

想象一下，如果您');DROP SCHEMA public;--从恶意用户那里获得了价值，将会发生什么。您将产生：

insert into test values (1,'');DROP SCHEMA public;--');

它分为两个语句和一个被忽略的注释：

insert into test values (1,'');
DROP SCHEMA public;
--');

糟糕，您的数据库就在那里。

根据PostgreSQL文档（4.1.2.1。字符串常量）：

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

另请参见standard_conforming_strings参数，该参数控制是否使用反斜杠转义。

在postgresql中，如果您想在其中插入值，'则必须为此付出额外的努力'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

您可以使用postrgesql chr（int）函数：

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

如果您需要在Pg中完成工作：

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')