c# – 我需要在SQL查询中转义的字符是什么

插入字符串时我需要检查和转义的字符是什么？

INSERT INTO gamedata (gamename,url,dlink) 
VALUES ('mady's run','http://www.sdfa.com','http://extabit.com/sdf')</code>

我该如何逃避这些角色？
我正在使用C#并使用sql Server Management Studio 2008管理数据库.

解决方法

不要逃避它们.只是不要在sql中包含值.而是使用参数化sql并直接为参数提供值.没有转义,没有引用,没有转换 – 并且没有sql注入攻击的风险.

有关示例,请参见the documentation for SqlCommand.Parameters.

您应该将此应用于所有值 – 而不仅仅是您预期具有“特殊”字符的值.它将代码(sql)与数据(值)分开,避免了sql注入攻击,并且还避免了不必要的转换(如果您不小心,这可能会导致日期/时间值和数字出现问题).