Gestión de comillas simples en una cadena de SQL

Question

Tengo una aplicación donde los valores en el campo de texto se envían a la base de datos.

Por ejemplo, tengo un formulario con un campo (cuadro de texto). Cuando presiono el botón Ok, el contenido del campo de texto se inserta como un registro en una tabla. Solo estoy recortando y extrayendo el texto del cuadro de texto en variable y pasándolo a mi cadena SQL.

El problema es que siempre que algo como "Es" o "Amigo" la cita simple se identifica como el final de la cadena. En Delphi, he visto algo como QuotedString para evitar esto. Alguna idea tuya?

Answer 1

No vuelvas construir sentencias SQL como eso, es muy inseguro (read this). Utilizar los parámetros, es decir:

var command = new SqlCommand("select * from person where firstname = @firstname"); 
SqlParameter param = new SqlParameter(); 
param.ParameterName = "@firstname"; 
param.Value   = "testing12'3"; 
command.Parameters.Add(param); 

Answer 2

Hope esto le ayudará a ...

public static string DoQuotes(string sql) 
    { 
     if (sql == null) 
      return ""; 
     else 
      return sql.Replace("'", "''"); 
    } 

Answer 3

Uso .Replace("'","''''")

Por ejemplo

string name = txtName.Text.Replace("'","''''"); 

Ahora name se pueden pasar como un parámetro de procedimiento almacenado etc.