Insérer du texte avec des guillemets simples dans PostgreSQL

J'ai une table test(id,name).

Je dois insérer des valeurs comme: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Je reçois une erreur si j'exécute l'une des instructions ci-dessus.

S'il existe une méthode pour le faire correctement, veuillez la partager. Je ne veux pas de déclarations préparées.

Est-il possible d'utiliser le mécanisme d'échappement sql?

Littéraux de chaîne

Échapper aux guillemets simples 'en les doublant -> ''est la méthode standard et fonctionne bien sûr:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

Dans les anciennes versions ou si vous exécutez toujours avec standard_conforming_strings = offou, généralement, si vous ajoutez votre chaîne à Epour déclarer la syntaxe de chaîne d'échappement Posix , vous pouvez également vous échapper avec la barre oblique inverse \:

E'user\'s log'

La barre oblique inverse elle-même est échappée avec une autre barre oblique inverse. Mais ce n'est généralement pas préférable.
Si vous devez gérer de nombreux guillemets simples ou plusieurs couches d'échappement, vous pouvez éviter de citer l'enfer dans PostgreSQL avec des chaînes entre guillemets :

'escape '' with '''''
$$escape ' with ''$$

Pour éviter davantage la confusion entre les cotations en dollars, ajoutez un jeton unique à chaque paire:

$token$escape ' with ''$token$

Qui peuvent être imbriqués dans n'importe quel nombre de niveaux:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

Faites attention si le $personnage doit avoir une signification particulière dans votre logiciel client. Vous devrez peut-être y échapper en plus. Ce n'est pas le cas avec les clients PostgreSQL standard comme psql ou pgAdmin.

Tout cela est très utile pour écrire des fonctions plpgsql ou des commandes SQL ad hoc. Cependant, cela ne peut pas réduire le besoin d'utiliser des instructions préparées ou une autre méthode pour se protéger contre l'injection SQL dans votre application lorsque l'entrée utilisateur est possible. @ La réponse de Craig en contient plus. Plus de détails:

• Injection SQL dans les fonctions Postgres vs requêtes préparées

Valeurs à l'intérieur de Postgres

Lorsque vous traitez des valeurs à l'intérieur de la base de données, il existe quelques fonctions utiles pour citer correctement les chaînes:

• quote_literal()ouquote_nullable() - ce dernier sort la chaîne NULLpour une entrée nulle. (Il y a aussi quote_ident()de guillemets doubles cordes si nécessaire pour obtenir valides SQL identifiants .)
• format()avec le spécificateur de format %Lest équivalent à quote_nullable().
  Comme:format('%L', string_var)
• concat()ou neconcat_ws() sont généralement pas bons car ceux-ci n'échappent pas aux guillemets simples et aux barres obliques inverses imbriqués.

C'est tellement de mondes mauvais, car votre question implique que vous avez probablement des trous d' injection SQL béants dans votre application.

Vous devez utiliser des instructions paramétrées. Pour Java, utilisez PreparedStatementavec des espaces réservés . Vous dites que vous ne voulez pas utiliser des instructions paramétrées, mais vous n'expliquez pas pourquoi , et franchement, cela doit être une très bonne raison de ne pas les utiliser car elles sont le moyen le plus simple et le plus sûr de résoudre le problème que vous essayez résoudre.

Voir Prévention de l'injection SQL en Java . Ne soyez pas la prochaine victime de Bobby .

Il n'y a pas de fonction publique dans PgJDBC pour la citation de chaîne et l'échappement. C'est en partie parce que cela pourrait donner l'impression que c'est une bonne idée.

Il existe des fonctions de citation intégrées quote_literalet quote_identdans PostgreSQL, mais elles sont destinées aux PL/PgSQLfonctions qui utilisent EXECUTE. Ces jours-ci quote_literalsont principalement obsolètes par EXECUTE ... USING, qui est la version paramétrée , car elle est plus sûre et plus facile . Vous ne pouvez pas les utiliser aux fins que vous expliquez ici, car ce sont des fonctions côté serveur.

Imaginez ce qui se passe si vous obtenez la valeur ');DROP SCHEMA public;--d'un utilisateur malveillant. Vous produiriez:

insert into test values (1,'');DROP SCHEMA public;--');

qui se décompose en deux déclarations et un commentaire qui est ignoré:

insert into test values (1,'');
DROP SCHEMA public;
--');

Oups, voilà votre base de données.

Selon la documentation PostgreSQL (4.1.2.1. Constantes de chaîne) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Voir aussi le paramètre standard_conforming_strings , qui contrôle si l'échappement avec des barres obliques inverses fonctionne.

Dans postgresql si vous voulez insérer des valeurs avec, 'vous devez donner plus'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

vous pouvez utiliser la fonction postrgesql chr (int):

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Si vous devez faire le travail à l'intérieur de Pg:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')