转义sql插入字符串的最佳方法？

转义 sql 插入、更新字符串的最佳方法是什么？

我想允许使用特殊字符，包括 ' 和 "。在插入语句中使用每个字符串之前，搜索和替换每个字符串的最佳方法是吗？

Thanks

重复：防御sql注入和跨站脚本的最佳方法 https://stackoverflow.com/questions/568995/best-way-to-defend-against-mysql-injection-and-cross-site-scripting

您应该使用参数化查询（因此，通过扩展，支持参数化查询的数据库接口库），这样 SQL 注入就不会发生。