Escape Sonderzeichen in SQL INSERT INTO via C#

Question

Ich habe google gesucht und habe keine Lösung für mein Problem gefunden. Grundsätzlich habe ich einen Kommentar-Feed, der innerhalb einer Bildergalerie eingerichtet wird (ähnlich wie Facebook oder stackoverflow Kommentare). Benutzer können Kommentare schreiben und Kommentare von anderen Benutzern lesen. Das funktioniert gut. Wenn jedoch ein Benutzer einen Kommentar mit einem Apostroph zu schreiben versucht, erhalte ich ein netten kleine Web-Anwendungsfehler:

Incorrect syntax near 's'. Unclosed quotation mark after the character string ')'.

Der Kommentar, den ich SQL bin Entsendung sind 81 Jahre. Ich möchte eine Lösung, die alle Sonderzeichen entgeht, so dass, was auch immer der Benutzer eingibt, egal was, nicht aus.

Code hinter

Fetcher.postUserComments(connectionString, imagePath, comments.ToString(), userId); 

Fetcher

sqlCom.CommandText = "INSERT INTO dbo.Table(userId, imagePath, userComments, dateCommented) VALUES ('" + userId + "', '" + imagePath + "', '" + comments + "', '" + theDate + "')"; 

Der Datentyp String ist, und ich habe auch versucht, ein .ToString() aber kein Glück zu tun. Vielen Dank im Voraus für hilfreiche Informationen.

Answer 1

Sie immer parametrisierte querys verwenden soll. Sie helfen Ihnen, Situationen zu vermeiden, wie die, die Sie haben, sowie SQL Injection attacks

sqlCom.CommandText = "INSERT INTO dbo.Table(userId, imagePath, userComments, dateCommented) VALUES (@userId, @imagePath, @userComments, @dateCommented)"; 

sqlCom.Parameters.AddWithValue("@userId", userId); 
sqlCom.Parameters.AddWithValue("@imagePath", imagePath); 
sqlCom.Parameters.AddWithValue("@userComments", comments); 
sqlCom.Parameters.AddWithValue("@dateCommented", theDate); 

Answer 2

Sie müssen die "Zeichen in den Kommentaren

comments = comments.Replace("'", "''"); 

Alternativ duplizieren, aber mehr Sicherheit, ist Sql Parameter zu verwenden, zB:

cmd.CommandText = "SELECT * FROM Client, Project WHERE Client.ClientName = @ClientName AND Project.ProjectName = @ProjectName"; 

cmd.Parameters.Add(new SqlParameter("@ClientName",client.SelectedValue)); 

cmd.Parameters.Add(new SqlParameter("@ProjectName",projnametxt.Text)); 

Answer 3

Sie sollten dies nie tun ... weil es für eine einfache SQL-Injection ermöglicht. Ich konnte bösartige SQL-Abfragen über einen Kommentar, so etwas wie ...

;drop database master; 

Verwendung Parameter statt spritzen zu vermeiden, SQL-Injection

command.Parameters.Add(new SqlParameter("@Param", value));