自动转义文本框中输入的特殊字符

Question

我正在使用Win Forms编程，无论用户在文本框中输入什么，都会以所见即所得的方式转换为字符串，然后以以下形式通过Sqlcommand发送：Sqlcommand("INSERT INTO dbo.Call VALUES('" + textBox.Text + "');", Connection); 但是如果textBox包含双引号，将会影响格式（这也可能发生在单引号、反斜杠等字符上）。是否有一种简单的方法来设置Win Forms或C#代码，自动在这些字符之前添加\？

- derekantrican

---

使用参数化查询，您根本不需要转义。 - Dmitry Bychenko

遵循Dmitry Bychenko的提示，以防止SQL注入。 - Roberto Pegoraro

尝试在此处：https://dev59.com/rWgu5IYBdhLWcg3wWVuF - Ggalla1779

Answer 1

您不应该像这样使用SQL，您应该使用参数化查询，可以查看MSDN文章或在谷歌上搜索大量示例。https://msdn.microsoft.com/en-us/library/system.data.sqlclient.sqlcommand.parameters(v=vs.110).aspx。编辑说明：需要澄清的是，正如某个回答中指出的那样，这样做将消除对字符的转义的需求，并从文本框中防止SQL注入。

- Justin Packwood

---

抱歉，我的错误（这是我在Visual Studio中完成的第一个项目，第一次使用Win Forms和第一次编写C#）。感谢您的提示！ - derekantrican

Answer 2

您可以使用正则表达式模式来替换所需的字符。

在MSDN上获取更多信息

- Julia

Answer 3

使用

Uri.EscapeDataString

C#中的方法

它将为您的字符串返回一个转义输出。

- Cheezy Code