Masukkan teks dengan tanda kutip tunggal dalam PostgreSQL

Saya punya meja test(id,name).

Saya harus memasukkan nilai-nilai seperti: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Saya mendapatkan kesalahan jika saya menjalankan salah satu dari pernyataan di atas.

Jika ada metode untuk melakukan ini dengan benar, silakan bagikan. Saya tidak ingin ada pernyataan yang disiapkan.

Apakah mungkin menggunakan mekanisme melarikan diri sql?

Literal string

Meloloskan satu kutipan 'dengan menggandakannya -> ''adalah cara dan cara standar tentu saja:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

Dalam versi lama atau jika Anda masih menjalankan dengan standard_conforming_strings = offatau, secara umum, jika Anda menambahkan string Anda dengan Emendeklarasikan sintaks string Posix , Anda juga dapat melarikan diri dengan backslash \:

E'user\'s log'

Backslash sendiri lolos dengan backslash lain. Tapi itu umumnya tidak disukai.
Jika Anda harus berurusan dengan banyak tanda kutip tunggal atau beberapa lapisan pelolosan, Anda dapat menghindari mengutip neraka di PostgreSQL dengan string yang dikutip dolar :

'escape '' with '''''
$$escape ' with ''$$

Untuk menghindari kebingungan di antara kutipan dolar, lebih lanjut tambahkan token unik untuk setiap pasangan:

$token$escape ' with ''$token$

Yang dapat disarangkan sejumlah level:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

Perhatikan jika $karakter tersebut memiliki makna khusus dalam perangkat lunak klien Anda. Anda mungkin harus menghindarinya juga. Ini tidak terjadi dengan klien PostgreSQL standar seperti psql atau pgAdmin.

Itu semua sangat berguna untuk menulis fungsi plpgsql atau perintah SQL ad-hoc. Itu tidak dapat mengurangi kebutuhan untuk menggunakan pernyataan yang disiapkan atau beberapa metode lain untuk melindungi terhadap injeksi SQL dalam aplikasi Anda ketika input pengguna dimungkinkan. @ Craig menjawab lebih banyak tentang itu. Keterangan lebih lanjut:

• Injeksi SQL dalam fungsi Postgres vs kueri yang disiapkan

Nilai di dalam Postgres

Saat berurusan dengan nilai-nilai di dalam database, ada beberapa fungsi yang berguna untuk mengutip string dengan benar:

• quote_literal()atauquote_nullable() - yang terakhir menampilkan string NULLuntuk input nol. (Ada juga quote_ident()untuk double-kutipan string di mana diperlukan untuk mendapatkan SQL yang valid pengidentifikasi .)
• format()dengan format specifier %Lsetara dengan quote_nullable().
  Suka:format('%L', string_var)
• concat()atauconcat_ws() biasanya tidak baik karena mereka tidak luput dari tanda kutip tunggal dan backslash.

Ini sangat banyak dunia yang buruk, karena pertanyaan Anda menyiratkan bahwa Anda mungkin memiliki lubang injeksi SQL yang menganga dalam aplikasi Anda.

Anda harus menggunakan pernyataan parameter. Untuk Java, gunakan PreparedStatementdengan placeholder . Anda mengatakan Anda tidak ingin menggunakan pernyataan parameter, tetapi Anda tidak menjelaskan mengapa , dan terus terang itu harus menjadi alasan yang sangat baik untuk tidak menggunakannya karena mereka adalah cara termudah, teraman untuk memperbaiki masalah yang Anda coba menyelesaikan.

Lihat Mencegah Injeksi SQL di Jawa . Jangan menjadi korban Bobby berikutnya.

Tidak ada fungsi publik di PgJDBC untuk mengutip dan melarikan diri string. Itu sebagian karena itu mungkin membuatnya tampak seperti ide yang bagus.

Ada yang built-in mengutip fungsi quote_literaldan quote_identdi PostgreSQL, tetapi mereka adalah untuk PL/PgSQLfungsi yang digunakan EXECUTE. Hari-hari quote_literalini sebagian besar sudah usang oleh EXECUTE ... USING, yang merupakan versi parameter , karena lebih aman dan lebih mudah . Anda tidak dapat menggunakannya untuk tujuan yang Anda jelaskan di sini, karena mereka adalah fungsi sisi server.

Bayangkan apa yang terjadi jika Anda mendapatkan nilai ');DROP SCHEMA public;--dari pengguna jahat. Anda akan menghasilkan:

insert into test values (1,'');DROP SCHEMA public;--');

yang terbagi menjadi dua pernyataan dan komentar yang diabaikan:

insert into test values (1,'');
DROP SCHEMA public;
--');

Aduh, ini database Anda.

Menurut dokumentasi PostgreSQL (4.1.2.1. String Constants) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Lihat juga parameter standard_conforming_strings , yang mengontrol apakah melarikan diri dengan backslash berfungsi.

Dalam postgresql jika Anda ingin memasukkan nilai 'di dalamnya maka untuk ini Anda harus memberikan ekstra'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

Anda dapat menggunakan fungsi postrgesql chr (int):

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Jika Anda perlu menyelesaikan pekerjaan dalam Pg:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')