Microsoft SQL Server：INSERT to table with 's

Question

string sql = "Insert Into mytable" + $" (Id, Name, otherName) Values" + 
      $" ('{id}','{name}','{otherName}')"; 
using (SqlCommand cmd = new SqlCommand(sql, sqlConnection)) 
     { 
      cmd.ExecuteNonQuery(); 
     } 

私のデータの一部は次のようなものがあります。「otherName」列に「Mike's car」のようなものがあります。 SQLサーバーは "s"にエラーを表示しますが、これは自分のコードを修正する方法を知りません。

ありがとうございます。私の悪い英語を申し訳ありません。

Answer 1

あなたはSQLインジェクション攻撃に開い自分を残している、パラメータを使用する必要があります。

// These come from whatever your source which you have no control over. 
int id = 12345; 
string name = "Andrew"; 
string otherName = "Fred"; 

var sql = "Insert Into mytable (Id, Name, otherName) Values (@id, @name, @otherName) 
using (var sqlQuery = new SqlCommand(sql, sqlConnection)) 
{ 

    sqlQuery.Parameters.AddWithValue("@id", id); 
    sqlQuery.Parameters.AddWithValue("@name", name); 
    sqlQuery.Parameters.AddWithValue("@otherName", otherName); 

    sqlQuery.ExecuteNonQuery(); 
}