Wstaw tekst z pojedynczymi cudzysłowami w PostgreSQL

Mam tabeli test(id,name).

Muszę wstawić wartości jak: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Otrzymuję błąd, jeśli uruchomię dowolną z powyższych instrukcji.

Jeśli istnieje jakakolwiek metoda, aby to zrobić poprawnie, udostępnij. Nie chcę żadnych przygotowanych oświadczeń.

Czy jest to możliwe przy użyciu mechanizmu ucieczki SQL?

Literały łańcuchowe

Unikanie pojedynczych cytatów 'poprzez ich podwojenie -> ''jest standardowym sposobem i działa oczywiście:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

W starych wersjach lub jeśli nadal działasz z standard_conforming_strings = offlub, generalnie, jeśli poprzedzasz swój ciąg znaków, Eaby zadeklarować składnię łańcucha ucieczki Posix , możesz również uciec za pomocą odwrotnego ukośnika \:

E'user\'s log'

Sam odwrotny ukośnik jest poprzedzany innym odwrotnym ukośnikiem. Ale generalnie nie jest to preferowane.
Jeśli masz do czynienia z wieloma pojedynczymi cudzysłowami lub wieloma warstwami ucieczki, możesz uniknąć cytowania piekła w PostgreSQL za pomocą ciągów cytowanych w dolarach :

'escape '' with '''''
$$escape ' with ''$$

Aby dodatkowo uniknąć pomyłek w notowaniach dolara, dodaj unikalny token do każdej pary:

$token$escape ' with ''$token$

Które mogą być zagnieżdżone na dowolnej liczbie poziomów:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

Zwróć uwagę, jeśli $ postać powinna mieć specjalne znaczenie w oprogramowaniu klienckim. Dodatkowo może być konieczne ucieczka. Nie dotyczy to standardowych klientów PostgreSQL, takich jak psql lub pgAdmin.

Wszystko to jest bardzo przydatne do pisania funkcji plpgsql lub ad-hoc poleceń SQL. Nie może jednak zmniejszyć potrzeby użycia przygotowanych instrukcji lub innej metody w celu zabezpieczenia przed wstrzyknięciem SQL w aplikacji, gdy możliwe jest wprowadzanie danych przez użytkownika. Odpowiedź @ Craiga zawiera więcej informacji na ten temat. Więcej szczegółów:

• Wstrzyknięcie SQL w funkcjach Postgres a przygotowane zapytania

Wartości w Postgres

Gdy mamy do czynienia z wartościami w bazie danych, istnieje kilka przydatnych funkcji do prawidłowego cytowania ciągów:

• quote_literal()lubquote_nullable() - ta ostatnia wyprowadza ciąg znaków NULLdla wejścia zerowego. (Jest też quote_ident()do podwójnego cytując strun gdzie potrzebne do uzyskania prawidłowych SQL identyfikatory ).
• format()ze specyfikatorem formatu %Lodpowiada quote_nullable().
  Lubić:format('%L', string_var)
• concat()lubconcat_ws() zazwyczaj nie są dobre, ponieważ nie unikają zagnieżdżonych pojedynczych cudzysłowów i odwrotnych ukośników.

Jest tak wiele złych światów, ponieważ twoje pytanie sugeruje, że prawdopodobnie masz luki w aplikacjach SQL .

Powinieneś używać sparametryzowanych instrukcji. W przypadku języka Java należy używać PreparedStatementsymboli zastępczych . Mówisz, że nie chcesz używać sparametryzowanych instrukcji, ale nie wyjaśniasz dlaczego , i szczerze mówiąc, musi to być bardzo dobry powód, aby ich nie używać, ponieważ są one najprostszym i najbezpieczniejszym sposobem rozwiązania problemu, który próbujesz rozwiązać rozwiązać.

Zobacz Zapobieganie wstrzykiwaniu SQL w Javie . Nie bądź Bobby kolejną ofiarą .

W PgJDBC nie ma funkcji publicznej do cytowania ciągów i zmiany znaczenia. Po części dlatego, że może to wydawać się dobrym pomysłem.

Tam są wbudowane w cytując funkcje quote_literali quote_identw PostgreSQL, ale są za PL/PgSQLjego pomocą funkcji EXECUTE. Te dni quote_literalsą w większości przestarzałe EXECUTE ... USING, ponieważ jest to sparametryzowana wersja , ponieważ jest bezpieczniejsza i łatwiejsza . Nie możesz ich użyć do celów, które tu wyjaśnisz, ponieważ są to funkcje po stronie serwera.

Wyobraź sobie, co się stanie, jeśli otrzymasz wartość ');DROP SCHEMA public;--od złośliwego użytkownika. Wyprodukowalibyście:

insert into test values (1,'');DROP SCHEMA public;--');

który dzieli się na dwie instrukcje i komentarz, który jest ignorowany:

insert into test values (1,'');
DROP SCHEMA public;
--');

Ups, tam idzie twoja baza danych.

Zgodnie z dokumentacją PostgreSQL (4.1.2.1. Stałe łańcuchowe) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Zobacz także parametr standard_conforming_strings , który kontroluje, czy działa ucieczka z ukośnikami odwrotnymi.

W postgresql, jeśli chcesz wstawić wartości z 'nim, to musisz podać dodatkowe'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

możesz użyć funkcji chr (int) postrgesql:

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Jeśli musisz wykonać pracę w Pg:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')