Oracle：字段值中含有单引号

在Java中操作Oracle数据库时，如果字段值中包含单引号（'），这可能会引起SQL注入的风险，尤其是在使用字符串拼接的方式来构建SQL语句时。为了避免这种情况，你应该使用参数化查询（PreparedStatement）来处理这类问题。
使用PreparedStatement避免SQL注入

使用PreparedStatement可以有效防止SQL注入攻击，并且可以自动处理字段值中的特殊字符，如单引号。
1、示例代码

假设你有一个Oracle数据库，其中有一个表users，你想根据用户名（可能包含单引号）来查询用户信息。
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class OracleExample {
    public static void main(String[] args) {
        String url = "jdbc:oracle:thin:@localhost:1521:xe"; // 修改为你的数据库URL
        String user = "yourUsername"; // 修改为你的数据库用户名
        String password = "yourPassword"; // 修改为你的数据库密码
        
        String query = "SELECT * FROM users WHERE username = ?"; // 使用参数化查询
        
        try (Connection conn = DriverManager.getConnection(url, user, password);
             PreparedStatement pstmt = conn.prepareStatement(query)) {
            
            String username = "O'Reilly"; // 示例用户名，包含单引号
            pstmt.setString(1, username); // 设置参数值
            
            ResultSet rs = pstmt.executeQuery();
            while (rs.next()) {
                // 处理结果集
                System.out.println("User ID: " + rs.getInt("id") + ", Name: " + rs.getString("username"));
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

2、释义

    ‌连接数据库‌：使用DriverManager.getConnection()方法获取数据库连接。
    ‌创建PreparedStatement‌：通过调用Connection对象的prepareStatement()方法，传入SQL语句（此处使用?作为占位符）。
    ‌设置参数‌：通过PreparedStatement的setString()方法设置参数值，这样即使参数值中包含单引号，也不会引起SQL语法错误。
    ‌执行查询并处理结果‌：执行查询并处理结果集。

3、注意事项

•     确保在代码中正确管理资源，如使用try-with-resources语句自动关闭Connection和PreparedStatement。
•     使用参数化查询可以有效防止SQL注入攻击，这是处理包含特殊字符（如单引号）的最佳实践。
•     确保在开发环境中测试各种可能的输入值，以确保应用的安全性和健壮性。