SQL中单引号导致语法错误的典型表现是字符串提前闭合，如'O'Reilly'被解析为'O'加非法tokenReilly'，引发未终止字符串错误；标准转义方式是用两个单引号''代替一个，如'O''Reilly'，适用于PostgreSQL、SQL Server、Oracle、SQLite及MySQL（推荐统一使用）；动态拼接时应避免手动转义，优先采用参数化查询防止SQL注入与语法错误。
SQL里单引号导致语法错误的典型表现
直接拼接含单引号的字符串（比如 O'Reilly）进SQL语句，会提前闭合字符串字面量，引发 ERROR: unterminated quoted string 或类似解析失败。这不是数据问题，是SQL语法层面的字符串边界错乱。
标准转义方式：用两个单引号代替一个
SQL标准规定，字符串内要表示单引号，必须写成连续两个单引号 ''，而不是反斜杠 '（后者在多数数据库中不被识别，PostgreSQL 甚至默认禁用反斜杠转义）。
-
WHERE name = 'O''Reilly'是正确写法；'O'Reilly'会报错 - 适用于所有主流SQL方言：PostgreSQL、SQL Server、Oracle、SQLite（MySQL默认兼容但建议统一用双单引号）
- 注意：不是加反斜杠，也不是用双引号包裹——双引号在SQL中通常用于标识符（如列名），不是字符串字面量
动态拼接时最容易踩的坑
手动生成SQL（比如Python字符串拼接或旧式PHP代码）时，开发者常误以为“把用户输入里的单引号替换成反斜杠+单引号就行”，结果埋下SQL注入和语法错误双重风险。
- 错误做法：
"SELECT * FROM users WHERE name = '" + user_input.replace("'", "\'") + "'"→ 在PostgreSQL里直接报错 - 正确做法（仅限简单场景）：
user_input.replace("'", "''")，再套进单引号里 - 但更安全的做法永远是参数化查询：
cursor.execute("SELECT * FROM users WHERE name = %s", [user_input])—— 数据库驱动自动处理转义，无需手动干预 - 特别注意：JSON字段内容、XML片段、用户昵称等高频含单引号的字段，千万别裸拼
特殊场景：PostgreSQL中的escape子句与E-string
PostgreSQL支持用 E'' 语法启用C风格转义（如 E'O'Reilly'），但这需要显式声明且依赖服务器配置 standard_conforming_strings，实际项目中极易引发环境不一致。
- 不推荐在业务SQL中使用
E'...'，除非你100%控制所有部署环境且团队明确约定 -
ESCAPE子句（如LIKE 'O%Reilly' ESCAPE ''）只影响模式匹配，对普通字符串字面量无效 - 如果必须用转义字符，优先选双单引号方案——它跨数据库、无配置依赖、可读性直观
实际写SQL时，单引号转义本身很简单，难的是意识到“什么时候该转义”和“什么时候根本不该拼字符串”。只要涉及用户输入，参数化查询就是不可绕过的那条线。
