mysql 如何转义单引号，MySQL单引号转义技巧详解

MySQL 如何转义单引号？掌握这几种方法，避免SQL注入与语法错误

在 MySQL 中，转义单引号最直接、最常用的方法是使用反斜杠（\）进行转义，即在单引号前加上反斜杠，写成 \' 的形式。 这是 MySQL 默认的转义方式，能确保单引号被正确识别为字符串内容，而非字符串的结束边界，正确处理单引号转义是编写安全、可靠数据库应用的基础,它能有效防止SQL注入攻击并避免语法错误。

核心转义方法详解

使用反斜杠（\）转义 这是 MySQL 的标准做法，当字符串用单引号包裹时,内部出现的单引号必须转义。
```
INSERT INTO users (name, bio) VALUES ('O\'Reilly', 'It\'s a great day.');
```
执行后，数据库中存储的值将是 O'Reilly 和 It's a great day.。
使用双单引号（''）转义 在 SQL 标准中，也可以通过连续两个单引号来转义，MySQL 同样支持此方法。
```
INSERT INTO users (name) VALUES ('Mr''Smith');
```
数据库中存储为 Mr'Smith，这种方法在编写兼容其他数据库的 SQL 脚本时可能有用。

在应用程序中安全处理转义

绝对不应该手动拼接字符串来构建 SQL 语句，这是导致 SQL 注入漏洞的主要原因,正确做法是：

使用参数化查询（预编译语句）：这是首选的最佳实践，数据库驱动会自动处理转义,无需手动干预。

Python (PyMySQL) 示例：

cursor.execute("INSERT INTO articles (title) VALUES (%s)", ("Let's learn MySQL",))

PHP (PDO) 示例：

$stmt = $pdo->prepare("INSERT INTO articles (title) VALUES (?)");
$stmt->execute(["Let's learn MySQL"]);

Java (JDBC) 示例：

PreparedStatement stmt = conn.prepareStatement("INSERT INTO articles (title) VALUES (?)");
stmt.setString(1, "Let's learn MySQL");

使用官方驱动提供的转义函数：在必须拼接 SQL 的极少数场景下,应使用数据库驱动提供的专用函数：
- PHP (MySQLi)：mysqli_real_escape_string()
- Node.js (mysql2)：使用连接对象的 escape 方法或直接使用参数化查询。