PostgreSQLに単一引用符でテキストを挿入する

テーブルがありますtest(id,name)。

私は次のように値を挿入する必要があります user's log、'my user'、customer's。

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

上記のステートメントのいずれかを実行すると、エラーが発生します。

これを正しく行う方法がある場合は、共有してください。準備されたステートメントは必要ありません。

SQLエスケープメカニズムを使用することは可能ですか？

文字列リテラル

'二重引用符で単一引用符をエスケープする-> ''は標準的な方法であり、もちろん機能します。

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

古いバージョンで、または引き続き実行するstandard_conforming_strings = off場合、または一般的に、Posixエスケープ文字列構文Eを宣言するために文字列を前に付ける場合は、バックスラッシュでエスケープすることもできます\。

E'user\'s log'

バックスラッシュ自体は別のバックスラッシュでエスケープされます。しかし、それは一般的には好ましくありません。
多くの単一引用符またはエスケープの複数のレイヤーを処理する必要がある場合は、ドル引用符で囲まれた文字列でPostgreSQLの地獄を引用することを回避できます。

'escape '' with '''''
$$escape ' with ''$$

ドル引用符間の混乱をさらに回避するには、各ペアに一意のトークンを追加します。

$token$escape ' with ''$token$

これは、任意の数のレベルをネストできます。

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

$キャラクターがクライアントソフトウェアで特別な意味を持つ必要がある場合は注意してください。さらにそれをエスケープする必要があるかもしれません。これは、psqlやpgAdminなどの標準のPostgreSQLクライアントには当てはまりません。

これは、plpgsql関数やアドホックSQLコマンドを記述する場合に非常に役立ちます。ただし、ユーザー入力が可能な場合に、アプリケーションでSQLインジェクションから保護するために準備済みステートメントやその他の方法を使用する必要性を軽減することはできません。@Craigの回答にはそれ以上のものがあります。詳細：

• Postgres関数でのSQLインジェクションと準備済みクエリ

Postgres内の値

データベース内の値を処理する場合、文字列を適切に引用するための便利な関数がいくつかあります。

• quote_literal()またはquote_nullable() -後者NULLはnull入力の文字列を出力します。（有効なSQL 識別子を取得するために必要な場所で文字列quote_ident()を二重引用符で囲む必要もあります。）
• format()形式指定子%Lを使用すると、と同等になりquote_nullable()ます。
  お気に入り：format('%L', string_var)
• concat()またはconcat_ws()、ネストされた一重引用符やバックスラッシュをエスケープしないため、通常は適切ではありません。

あなたの質問はおそらくあなたのアプリケーションにギャップのあるSQLインジェクションホールがあることを示唆しているので、これは非常に多くの悪い世界です。

パラメータ化されたステートメントを使用する必要があります。Javaの場合はPreparedStatement、プレースホルダーとともに使用します。あなたはパラメータ化されたステートメントを使用したくないと言いますが、理由を説明しません、そして率直に言って、それらがあなたがしようとしている問題を修正する最も簡単で安全な方法であるため、それらを使用しない非常に良い理由でなければなりません解決する。

JavaでのSQLインジェクションの防止を参照してください。ボビーの次の犠牲者にならないでください。

PgJDBCには、文字列の引用とエスケープのためのパブリック関数はありません。それはそれが良いアイデアのように見えるかもしれないという理由もあります。

あります組み込み関数を引用quote_literalし、quote_identPostgreSQLでは、彼らはのためにあるPL/PgSQL使用機能しますEXECUTE。最近では、パラメータquote_literal化されたバージョンでEXECUTE ... USINGあるによって、ほとんど安全になっています。これらはサーバー側の関数であるため、ここで説明する目的には使用できません。

');DROP SCHEMA public;--悪意のあるユーザーから価値を得た場合を想像してみてください。あなたは作り出すでしょう：

insert into test values (1,'');DROP SCHEMA public;--');

これは、2つのステートメントと、無視されるコメントに分解されます。

insert into test values (1,'');
DROP SCHEMA public;
--');

おっと、あなたのデータベースがあります。

PostgreSQLのドキュメント（4.1.2.1。文字列定数）によると：

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

バックスラッシュによるエスケープが機能するかどうかを制御するstandard_conforming_stringsパラメータも参照してください。

postgresqlで値を挿入したい場合'は、このために追加する必要があります'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

postrgesql chr（int）関数を使用できます。

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Pg内で作業を行う必要がある場合：

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')