एंड्रॉइड पर SQLite में असमर्थित चरित्र से कैसे बचें?

Question

किसी को भी बता सकते हैं कैसे बच या समर्थित नहीं किसी को भी उदाहरण

धन्यवाद

Answer 1

आप कॉमन्स-लैंग उपयोगिता का उपयोग कर सकते हैं या आप इसे संभालने के लिए regexp का उपयोग कर सकते हैं।

यदि आप गतिशील एसक्यूएल बना रहे हैं, तो मैं सुझाव दूंगा कि एक तैयार कथन का उपयोग करने की कोशिश कर रहा है जो सिंगल कोट्स से बचने की आवश्यकता को खत्म कर देगा।

सिर्फ एक गतिशील एसक्यूएल का उपयोग स्ट्रिंग संयोजन का उपयोग करके बनाया:

String value = "one's self"; 
value= DatabaseUtils.sqlEscapeString(value); 
StringBuilder query= new StringBuilder(); 
query.append("insert into tname(foo) values (").append(value).append(")"); 
... execute call with query.toString() ... 

आदर्श रूप में

String value = "one's self"; 
StringBuilder query= new StringBuilder(); 
query.append("insert into tname(foo) values (").append(value).append(")"); 
... execute call with query.toString() ... 

बदलें कि

करने के लिए, एक तैयार बयान

String value = "one's self"; 
StringBuilder query= StringBuilder(); 
query.append("insert into tname(foo) values (?)"); 
SQLiteStatement stmt= db.compileStatement(query.toString()); 
stmt.bindString(1, value); 
long rowId= stmt.executeInsert(); 
// do logic check for > -1 on success 

इस तरह आप उपयोग नहीं करते "एसक्यूएल इंजेक्शन हमलों" में भाग लें।

अधिक जानकारी के लिए http://developer.android.com/reference/android/database/sqlite/SQLiteStatement.html का संदर्भ लें।

संपादित मैं एक छोटे से अधिक खुदाई किया था, आप DatabaseUtils.sqlEscapeString(String) का उपयोग एक स्ट्रिंग की सामग्री से बचने के लिए इतना है कि यह एक पूर्ण SQL विवरण के साथ कोई तैयार करता है के लिए मान्य है सकते हैं।

Answer 2

इन एक सरल \ के साथ नहीं किया कर रहे हैं दे सकते हैं एंड्रॉयड में SQLite में एकल उद्धरण की तरह चरित्र को बदलने के लिए? तो, आपका एकल उद्धरण \ 'होगा।

Answer 3

असल में, एकल कोट्स (') को दो सिंगल कोट्स (' ') के साथ बदलने का सबसे आसान तरीका है। आपकी क्वेरी तो हो जाएगा:

insert into tname(foo) values ('one''s self'); 

स्पष्टीकरण: SQLite, सिंगल कोट्स (') स्ट्रिंग सीमांकक के रूप में डबल कोट्स (") के बजाय का उपयोग अधिवक्ताओं का दावा है कि यह क्या SQL मानक की आवश्यकता है (मैं था इस बात की पुष्टि करने में असमर्थ)। SQLite भी मुझे पता है कि सभी अन्य SQL डेटाबेस से अलग है, जिसमें यह SQL मानकों का दावा करने के लिए फिर से '' का उपयोग करता है। (फिर से, मैं इस दावे की पुष्टि करने में असमर्थ था)।

निजी तौर पर, मैं उस दावे से असहमत हूं, क्योंकि मुझे पता है कि हर दूसरे एसक्यूएल डेटाबेस को अक्षर, बैकस्लैश से बचने के सी तरीके का उपयोग किया जाता है। भले ही इसे आईएसओ के एसक्यूएल मानक में कहीं भी इस्तेमाल किया गया हो, मुझे विश्वास है सी मानक का उपयोग करने के लिए उस मानक को संशोधित करने के लिए सबसे अच्छा हो सकता है, क्योंकि व्यवहार में, यह वैसे भी मानक है।

कृपया ध्यान दें कि:

insert into tname(foo) values ('ones "self"'); 

कि तर्क के आधार पर एक वैध एसक्यूएल बयान है, और कोई अतिरिक्त एस्केपिंग की आवश्यकता है।