在表中插入记录时，带单引号的字符串字段会导致错误

我有以下代码：

query = "insert into tblB2B_OrderStatusTopStillInRB (LSRNbr, ShipName, Units, DroppedInRB, EPT, Status, OnTimeStatus, ShipVia, DroppedInRB_Order, RealEPT) ";
query += "values ('"
                    + ListOrdStatusTopInRB[i].LSRNbr + "','"
                    + ListOrdStatusTopInRB[i].ShipName + "',"
                    + ListOrdStatusTopInRB[i].Units + ",'"
                    + ListOrdStatusTopInRB[i].DroppedInRB + "','"
                    + ListOrdStatusTopInRB[i].EPT + "','"
                    + ListOrdStatusTopInRB[i].Status + "','"
                    + ListOrdStatusTopInRB[i].OnTimeStatus + "','"
                    + ListOrdStatusTopInRB[i].ShipVia + "','"
                    + ListOrdStatusTopInRB[i].DroppedInRB_Order + "','"
                    + ListOrdStatusTopInRB[i].RealEPT + "')";

cmd.CommandText = query;
cmd.ExecuteNonQuery();

我刚刚意识到，当ShipName具有带单引号的值，会导致插入语句中出现错误，例如：int'l Transp.

有没有办法解决这个问题，而不从字符串中删除单引号？

我尝试使用以下内容但没有成功：

cmd.CommandText = @query
+ @ListOrdStatusTopInRB[i].ShipName + "',"

有任何想法吗？

有没有办法解决这个问题，而不从字符串中删除单引号？

是的 - 使用参数化 SQL 代替。你应该never像这样直接在 SQL 中使用变量值。它可以允许SQL注入攻击 http://bobby-tables.com，导致转换异常，并且通常会使 SQL 更难以阅读。

See 的文档SqlCommand.Parameters http://msdn.microsoft.com/en-us/library/system.data.sqlclient.sqlcommand.parameters.aspx有关参数化 SQL 的示例。

基本上，这个想法是你的 SQL 包含对参数的引用，例如

INSERT INTO SomeTable(Foo, Bar) VALUES (@Foo, @Bar)

然后指定值@Foo and @Bar分别地。这些值并不是 SQL 本身的一部分，因此它们是否包含在 SQL 中具有特殊含义的字符并不重要。