在 SQL 中，轉義（escaping）是處理特殊字符的技術，尤其是在處理用戶輸入或在查詢中嵌入字符串時。轉義的目的是避免 SQL 語法錯誤、SQL 注入攻擊，並正確處理包含特殊字符的字符串。
常見的 SQL 轉義場景
單引號 (')： 在 SQL 中，字符串是由單引號包圍的，因此如果字符串本身包含單引號，必須將其轉義，否則會引發錯誤或 SQL 注入漏洞。
轉義方法：將單引號替換為兩個單引號（''）。
範例：
sql
-- 正常字符串
SELECT * FROM users WHERE name = 'O\'Reilly';
-- 使用兩個單引號來表示一個單引號
SELECT * FROM users WHERE name = 'O''Reilly';
反斜杠 (\)： 某些 SQL 系統（例如 MySQL）允許使用反斜杠作為轉義字符。如果查詢中需要插入反斜杠，則需要將反斜杠本身進行轉義。
轉義方法：使用兩個反斜杠（\\）來表示一個反斜杠。
範例：
sql
SELECT * FROM files WHERE path = 'C:\\Program Files\\MyApp';
百分比 (%) 和下劃線 (_)： 在使用 SQL 的 LIKE 操作符進行模式匹配時，百分比符號（%）和下劃線符號（_）具有特殊意義，分別表示"任意數量的字符"和"單個字符"。如果需要查詢包含這些字符的字串，必須進行轉義。
轉義方法：使用反斜杠（\）來轉義這些字符。
範例：
sql
-- 查詢包含百分比符號的字符串
SELECT * FROM products WHERE name LIKE '100\%';
-- 查詢包含下劃線的字符串
SELECT * FROM users WHERE username LIKE 'john\_doe';
SQL 注入防範： 為了防止 SQL 注入攻擊，必須對用戶輸入進行適當的轉義處理，並且推薦使用預處理語句（Prepared Statements）或參數化查詢，而不是直接將用戶輸入嵌入到 SQL 查詢中。
範例（不安全）：
sql
-- 錯誤做法：直接將用戶輸入嵌入 SQL 查詢中，容易導致 SQL 注入
SELECT * FROM users WHERE username = 'john' AND password = 'password';
範例（安全）：
sql
-- 使用預處理語句來防止 SQL 注入
PREPARE stmt FROM 'SELECT * FROM users WHERE username = ? AND password = ?';
EXECUTE stmt USING @username, @password;
Unicode 字符： 如果需要插入某些特殊的 Unicode 字符，可以使用 Unicode 的十六進制表示法來進行轉義。
轉義方法：使用 \u 加上 4 位十六進制數字來表示 Unicode 字符。
範例：
sql
SELECT * FROM products WHERE name = 'Emoji \uD83D\uDE03';
SQL 中的不同數據庫處理方式
不同的數據庫管理系統（DBMS）對轉義字符的處理可能會有所不同，常見的數據庫系統包括：
MySQL：支持使用反斜杠（\）來轉義字符。單引號需要用兩個單引號表示。
PostgreSQL：支持使用兩個單引號（''）來表示單引號。PostgreSQL 也支持使用 ANSI SQL 標準的參數化查詢來防止 SQL 注入。
SQL Server：類似於 MySQL，支持使用兩個單引號來轉義單引號。SQL Server 還提供了 QUOTENAME 函數來處理特殊字符。
SQLite：使用類似 MySQL 的方法來轉義字符，並且支持參數化查詢來防止 SQL 注入。
SQL 轉義注意事項：
SQL 注入防範：最好使用參數化查詢或預處理語句，而不是直接將用戶輸入嵌入查詢中，這樣可以防止 SQL 注入攻擊。
正確的字符轉義：在不同的 DBMS 中，轉義方法可能有所不同，應根據所使用的資料庫選擇適合的轉義方式。