Inserción segura de datos en la base de datos SQLite con el apóstrofo

Question

Estoy intentando crear una tabla en una base de datos SQLite basada en el texto proporcionado por el usuario. Todo funcionaba correctamente, excepto cuando intenté agregar un apóstrofo dentro del texto (que sería el nuevo nombre de la tabla). Después de la investigación, decidí que lo que estaba haciendo no es la mejor práctica como es vulnerable a la inyección:

const char *sqlStr = [[NSString stringWithFormat:@"CREATE Table '%@' ('Name' 'char(50)','ID' 'integer')",theString]UTF8String]; 

Así que estoy tratando de encontrar una manera de permitir que los apóstrofes que se incluirán en el nombre de tabla e insertar de forma segura el valor en la base de datos. He leído acerca de los valores de enlace, pero ¿es esto posible con la declaración 'CREATE TABLE'? ¿O solo cuando insertas datos en una tabla ya existente?

Gracias por su ayuda.

Answer 1

Desde el documentation:

Una constante de cadena está formada por encerrar la cadena entre comillas simples ('). Una comilla simple dentro de la cadena se puede codificar colocando dos comillas simples en una fila, como en Pascal.

Por lo tanto:

[theString stringByReplacingOccurrencesOfString:@"'" withString:@"''"];