АПОСТРОФ ДИНАМИЧЕСКИЙ SQL

Question

DECLARE @SQL Varchar(Max)
DECLARE @DESCR Varchar(Max)

-- Customer enters description into @Descr
SET @SQL = 'Update TableName SET FieldName='''
+ @DESCR
+ ''' WHERE ID=123'

Проблема в том, что клиент вводит апостроф в переменную @Descr.

В: В Microsoft SQL Server 2005 как заменить все апострофы двойным апострофом?

Answer 1

Если это вообще должен быть динамический SQL (код, который вы показали, не делает), тогда используйте параметризованный SQL и sp_executesql для этого, чтобы избежать возможности внедрения SQL.

DECLARE @SQL NVarchar(Max)
DECLARE @DESCR NVarchar(Max)

-- Customer enters description into @Descr


SET @SQL = 'Update TableName SET FieldName=@DESCR WHERE ID=123'

exec sp_executesql @SQL, N'@DESCR NVarchar(Max)', @DESCR =@DESCR

Answer 2

Не рекомендуется для производства, но будет работать.

SET @DESCR = REPLACE(@DESCR, '''', '''''')