拼接sql语句问题，插入的数据中包含特殊字符 编译器报错

[Pc498471249]

这是存储过程

ALTER PROCEDURE [dbo].[AddData](@QQNumber bigint,@QQPassword varchar(1000),@BeiZhu varchar(1000)=null)
AS
BEGIN
	declare @tableNumber varchar(10);
	declare @sql nvarchar(2000);
	set @tableNumber=Substring(CONVERT(varchar(20),@QQNumber),1,5);
	set @sql='insert into tab_'+@tableNumber+' (QQNumber,QQPassword,BeiZhu) values('''+Convert(varchar(20),@QQNumber)+''','''+@QQPassword+''','''+isnull(@BeiZhu,'NULL')+''')';
	exec(@sql);	
END

有个密码是这样的YANGjun'/,QIang 当插入这条数据的时候就提示错误了， ,后面的括号不完整 ,求解

[骑着蜗牛去爬山]

set @QQPassword=replace(@QQPassword,'''','''''')

[Kation]

最好都用参数代替 参数是最好的解决方法，还能避免sql注入

[boyqing]

SQL：''''==>等价于字符串内包含一个'，也可看作是'就是转义，这样就好理解了

[Pc498471249]

引用 3 楼 boyqing 的回复:

SQL：''''==>等价于字符串内包含一个'，也可看作是'就是转义，这样就好理解了

因为数据量太大， 所以分了表， ,在添加数据的时候不确定表名，存储过程里的sql就必须用字符串拼接了， 这样特殊字符就会出错， 在哪里对要插入的值进行转义？C#里？

[从事CSharp程序开发]

密码存明文不安全的，改存密文吧

[hard_learner]

使用参数的方式吧

[Pc498471249]

引用 6 楼 wl076 的回复:

把 ' 替换成 ''' 就好了

不行噢 ~

[wl076]

把 ' 替换成 ''' 就好了

[xiashaxuan]

[color=#800000]大苏打[/colo

引用

r]