Inserisci testo con virgolette singole in PostgreSQL

Ho un tavolo test(id,name).

Ho bisogno di inserire i valori come: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Ricevo un errore se eseguo una delle dichiarazioni sopra.

Se esiste un metodo per farlo correttamente, si prega di condividere. Non voglio dichiarazioni preparate.

È possibile utilizzare il meccanismo di escape sql?

Letterali a corda

Sfuggire alle virgolette singole 'raddoppiandole -> ''è il modo standard e funziona ovviamente:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

Nelle versioni precedenti o se si esegue ancora con standard_conforming_strings = offo, in genere, se si antepone la stringa Eper dichiarare la sintassi della stringa di escape Posix , è possibile anche eseguire la escape con la barra rovesciata \:

E'user\'s log'

La stessa barra rovesciata viene salvata con un'altra barra rovesciata. Ma questo non è generalmente preferibile.
Se devi affrontare molte virgolette singole o più livelli di escape, puoi evitare di citare l'inferno in PostgreSQL con stringhe tra virgolette :

'escape '' with '''''
$$escape ' with ''$$

Per evitare ulteriore confusione tra le virgolette, aggiungi un token univoco a ciascuna coppia:

$token$escape ' with ''$token$

Che può essere nidificato in qualsiasi numero di livelli:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

Fai attenzione se il $personaggio deve avere un significato speciale nel tuo software client. Potrebbe essere necessario scappare in aggiunta. Questo non è il caso dei client PostgreSQL standard come psql o pgAdmin.

Ciò è molto utile per scrivere funzioni plpgsql o comandi SQL ad hoc. Tuttavia, non può alleviare la necessità di utilizzare istruzioni preparate o altri metodi per salvaguardare dall'iniezione SQL nell'applicazione quando è possibile l'input dell'utente. La risposta di @ Craig ha di più su questo. Più dettagli:

• Iniezione SQL nelle funzioni di Postgres vs query preparate

Valori all'interno di Postgres

Quando si hanno a che fare con valori all'interno del database, ci sono un paio di utili funzioni per citare correttamente le stringhe:

• quote_literal()oppurequote_nullable() - quest'ultimo genera la stringa NULLper input null. (È inoltre necessario quote_ident()fare una virgoletta doppia tra parentesi quando necessario per ottenere identificatori SQL validi .)
• format()con l'identificatore di formato %Lequivale a quote_nullable().
  Piace:format('%L', string_var)
• concat()o inconcat_ws() genere non vanno bene perché non sfuggono alle virgolette singole singole e alle barre rovesciate.

Si tratta di così tanti mondi negativi, perché la tua domanda implica che probabilmente hai buchi di iniezione SQL spalancati nella tua applicazione.

Dovresti usare istruzioni con parametri. Per Java, utilizzare PreparedStatementcon segnaposto . Dici di non voler usare le istruzioni parametrizzate, ma non spieghi il perché , e francamente deve essere un'ottima ragione per non usarle perché sono il modo più semplice e sicuro per risolvere il problema che stai provando risolvere.

Vedere Prevenzione dell'iniezione SQL in Java . Non essere la prossima vittima di Bobby .

Non esiste alcuna funzione pubblica in PgJDBC per la quotazione e l'escape di stringhe. Questo in parte perché potrebbe far sembrare una buona idea.

Ci sono funzioni di quotazione integrate quote_literale quote_identin PostgreSQL, ma sono per le PL/PgSQLfunzioni che usano EXECUTE. In questi giorni quote_literalè per lo più obsoleto EXECUTE ... USING, che è la versione con parametri , perché è più sicuro e più facile . Non puoi usarli per lo scopo che spieghi qui, perché sono funzioni lato server.

Immagina cosa succede se ottieni il valore ');DROP SCHEMA public;--da un utente malintenzionato. Produresti:

insert into test values (1,'');DROP SCHEMA public;--');

che si suddivide in due affermazioni e un commento che viene ignorato:

insert into test values (1,'');
DROP SCHEMA public;
--');

Spiacenti, ecco il tuo database.

Secondo la documentazione PostgreSQL (4.1.2.1. Costanti di stringa) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Vedi anche il parametro standard_conforming_strings , che controlla se funziona l'escaping con barre rovesciate.

In postgresql se vuoi inserire valori con 'esso allora devi dare un extra'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

puoi usare la funzione postrgesql chr (int):

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Se hai bisogno di fare il lavoro all'interno di Pg:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')