Escape-цитата в SQL-выражении Object C

Question

У меня проблема с одинарной кавычкой в ​​sql. Ниже приведено утверждение.

Если имя пользователя - Мама, как мне его выбрать? Я также хочу принять во внимание, что иногда мне, возможно, придется бежать ', а иногда нет

sqlStatement = [NSString stringWithFormat:@"SELECT * FROM USERS where NAME = '%@'",searchKeyword];

Спасибо!

Answer 1

Вы не должны создавать SQL-запрос вручную таким образом. Это открывает двери для SQL-инъекций всех видов, позволяя злонамеренному пользователю запускать произвольный SQL в вашей базе данных.

Вместо этого вы должны использовать связанные параметры. Смотри http://www.sqlite.org/c3ref/bind_blob.html

(я полагаю, вы собираетесь выполнить запрос SQLite).