Insertar texto con comillas simples en PostgreSQL

Tengo una tabla test(id,name).

Necesito insertar valores como: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Recibo un error si ejecuto alguna de las declaraciones anteriores.

Si hay algún método para hacerlo correctamente, compártelo. No quiero ninguna declaración preparada.

¿Es posible usar el mecanismo de escape sql?

Literales de cadena

Escapando de comillas simples 'duplicándolas ->'' es la forma estándar y funciona, por supuesto:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

En versiones anteriores o si todavía se ejecuta con standard_conforming_strings = offo, en general, si antepone su cadena Epara declarar la sintaxis de cadena de escape de Posix , también puede escapar con la barra invertida\ :

E'user\'s log'

La barra diagonal inversa se escapa con otra barra diagonal inversa. Pero eso generalmente no es preferible.
Si tiene que lidiar con muchas comillas simples o múltiples capas de escape, puede evitar citar el infierno en PostgreSQL con cadenas de dólares :

'escape '' with '''''
$$escape ' with ''$$

Para evitar aún más la confusión entre las cotizaciones en dólares, agregue un token único a cada par:

$token$escape ' with ''$token$

Que se puede anidar cualquier cantidad de niveles:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

Presta atención si el $ personaje debe tener un significado especial en el software de tu cliente. Es posible que tenga que escapar además. Este no es el caso con clientes estándar de PostgreSQL como psql o pgAdmin.

Todo eso es muy útil para escribir funciones plpgsql o comandos SQL ad-hoc. Sin embargo, no puede aliviar la necesidad de usar declaraciones preparadas o algún otro método para proteger contra la inyección de SQL en su aplicación cuando es posible la entrada del usuario. La respuesta de @ Craig tiene más información al respecto. Más detalles:

• Inyección SQL en funciones de Postgres vs consultas preparadas

Valores dentro de Postgres

Al tratar con valores dentro de la base de datos, hay un par de funciones útiles para citar cadenas correctamente:

• quote_literal()oquote_nullable() - este último genera la cadena NULLpara una entrada nula. (También hay quote_ident()que comillas dobles cadenas donde sea necesario para obtener SQL válidas identificadores .)
• format()con el especificador de formato %Les equivalente a quote_nullable().
  Me gusta:format('%L', string_var)
• concat()oconcat_ws() normalmente no son buenas, ya que no escapan a comillas simples anidadas y barras diagonales inversas.

Esto es tan malo, porque su pregunta implica que probablemente tenga una gran inyección de SQL agujeros de en su aplicación.

Debería estar usando declaraciones parametrizadas. Para Java, use PreparedStatementcon marcadores de posición . Dices que no quieres usar declaraciones parametrizadas, pero no explicas por qué , y francamente tiene que ser una muy buena razón para no usarlas porque son la forma más simple y segura de solucionar el problema que estás intentando. resolver.

Consulte Prevención de la inyección de SQL en Java . No seas bobby la próxima víctima de .

No hay una función pública en PgJDBC para las citas y escapes de cadenas. Eso se debe en parte a que podría parecer una buena idea.

No son incorporados al citar las funciones quote_literaly quote_identen PostgreSQL, pero son para PL/PgSQLlas funciones que utilizan EXECUTE. En estos días quote_literalestá obsoleto en su mayoría EXECUTE ... USING, que es la versión parametrizada , porque es más segura y fácil . No puede usarlos para el propósito que explica aquí, porque son funciones del lado del servidor.

Imagine lo que sucede si obtiene el valor ');DROP SCHEMA public;--de un usuario malintencionado. Producirías:

insert into test values (1,'');DROP SCHEMA public;--');

que se divide en dos declaraciones y un comentario que se ignora:

insert into test values (1,'');
DROP SCHEMA public;
--');

Vaya, ahí va tu base de datos.

De acuerdo con la documentación de PostgreSQL (4.1.2.1. Constantes de cadena) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Vea también el parámetro standard_conforming_strings , que controla si funciona el escape con barras invertidas.

En postgresql si desea insertar valores con 'él, entonces para esto debe dar más'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

puede usar la función postrgesql chr (int):

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

Si necesita hacer el trabajo dentro de Pg:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')