SQL中单引号嵌套导致语法错误的典型表现是解析器将字符串提前截断，如'O'Reilly'被识别为'O'加非法剩余Reilly'；标准转义方式为用两个连续单引号''替代一个，即写成'O''Reilly'，该方式兼容所有主流数据库。
SQL查询中单引号导致语法错误的典型表现
直接写 WHERE name = 'O'Reilly' 会报错，因为 SQL 解析器在遇到第一个单引号后，把 O 当作字符串开头，紧接着的 '（即 O'Reilly 中的撇号）被当作字符串结束符，后面 Reilly' 就成了非法语法。常见报错如：ERROR: syntax error at or near "Reilly"（PostgreSQL）或 Unclosed quotation mark（SQL Server）。
标准转义方式：用两个单引号代替一个
SQL 标准规定，字符串内嵌单引号应写作两个连续单引号 ''，而不是反斜杠 \'（后者在 MySQL 某些模式下可用，但不通用）。这是最兼容、最安全的做法。
正确写法示例：
SELECT * FROM authors WHERE name = 'O''Reilly';
注意：O''Reilly 中间是两个紧挨着的单引号，不是引号加空格。
- 适用于所有主流数据库（PostgreSQL、SQL Server、Oracle、SQLite、标准 MySQL）
- 不需要修改数据库配置或连接参数
- 在动态拼接 SQL 时，必须对用户输入中的每个
'替换为''，不能只替换一次就完事
更安全的替代方案：使用参数化查询（推荐）
手动转义容易漏掉边界情况（比如输入含两个单引号、或嵌套引号），且一旦拼接逻辑出错就可能引发 SQL 注入。真正可靠的解法是交由数据库驱动处理。
例如 Python + psycopg2：
cursor.execute("SELECT * FROM authors WHERE name = %s", ("O'Reilly",))
或 Node.js + pg：
client.query("SELECT * FROM authors WHERE name = $1", ["O'Reilly"])
- 驱动自动完成引号转义和类型绑定，无需你操心
'怎么处理 - 即使输入是
Robert'); DROP TABLE students; --也会被当作文本值，而非可执行代码 - 性能更好——预编译语句可复用执行计划
MySQL 的特殊情况：反斜杠转义是否可用？
MySQL 默认启用 ANSI_QUOTES 和 STRICT_TRANS_TABLES 以外的模式时，允许用 \' 转义单引号，例如：'O\'Reilly'。但这属于 MySQL 扩展行为，不是 SQL 标准。
- 若迁移至 PostgreSQL 或 SQL Server，这类写法会直接失败
- 当 MySQL 开启了
NO_BACKSLASH_ESCAPESSQL mode 时，\'会被当作字面量反斜杠+单引号，结果查不到数据 - 即使当前能跑，也建议统一改用双单引号或参数化，避免环境差异挖坑
真正难的不是怎么转义，而是记住：只要涉及用户输入，就别拼字符串；只要写死字符串，就得盯住那两个紧挨着的 '。漏一个，查不到数据还算轻的。
