在业务开发中，我们经常需要把多个字段拼接成连接字段用于查询或展示，但这些字段里可能带有单引号、双引号、反斜杠或者通配符，如果不加处理就会破坏SQL语法或引发注入风险。下面介绍如何通过引号转义与正则匹配来稳妥应对。
为什么连接字段中的特殊字符会带来问题
当使用字符串拼接构造SQL时，例如把用户名和邮箱连起来做模糊匹配，若用户名本身含有单引号，拼出的语句就会提前闭合字符串。此外，LIKE语句中的百分号和下划线也属于通配符，会被误当作匹配规则。
使用引号转义处理特殊字符
不同数据库提供了内置函数来转义引号与反斜杠。以MySQL为例，可以使用QUOTE()函数自动加引号并转义内部特殊字符。
-- MySQL中使用QUOTE转义连接字段中的引号
SELECT CONCAT(QUOTE(user_name), '-', QUOTE(email))
FROM users
WHERE CONCAT(user_name, email) LIKE CONCAT('%', QUOTE('o''connor'), '%');
在PostgreSQL中，可以用quote_literal()完成类似工作。
-- PostgreSQL使用quote_literal转义
SELECT quote_literal(user_name) || '-' || quote_literal(email)
FROM users
WHERE user_name LIKE '%' || quote_literal('o''connor') || '%';
使用正则匹配清洗与校验字段
如果希望在拼接前就把非法字符找出来或替换掉，可以用正则匹配。下面以MySQL的REGEXP和REGEXP_REPLACE为例，把连接字段里的特殊符号替换为下划线。
-- 将用户名和邮箱连接后，把非字母数字字符替换为下划线 SELECT REGEXP_REPLACE(CONCAT(user_name, email), '[^a-zA-Z0-9]', '_') AS safe_field FROM users;
PostgreSQL通过~和regexp_replace支持正则，写法如下。
-- PostgreSQL正则替换特殊字符 SELECT regexp_replace(user_name || email, '[^a-zA-Z0-9]', '_', 'g') AS safe_field FROM users;
在LIKE中处理通配符
当连接字段用于LIKE且包含百分号或下划线时，应先转义这些通配符。MySQL可指定ESCAPE字符。
-- 把字段内的%和_转义，再用于LIKE
SELECT *
FROM logs
WHERE CONCAT(field_a, field_b) LIKE CONCAT('%', REPLACE(REPLACE('100%_test', '%', '\%'), '_', '\_'), '%') ESCAPE '\';
小结
面对SQL连接字段中的特殊字符，核心思路是先识别再处理：用数据库自带的引号转义函数防止语法断裂，用正则匹配清洗或校验内容，对LIKE通配符显式转义。这样既能保证语句正确，也能提升安全性。