Почему PostgreSQL обрабатывает значение в моем запросе, как будто это имя столбца?

Question

Я использую Npgsql с C# для связи с моей базой данных PostgreSQL. Все имена, используемые в моей базе данных, являются смешанными, поэтому в запросе я уверен, что я использую двойные кавычки вокруг каждого имени. Вот как я посылаю запрос:

// construct an insert query 
string insertQuery = "insert into \"Update\" (\"Vehicle\",\"Property\",\"Value\") " + 
        "values (" + vehicleNum.ToString() + ",\"" + propertyName + 
        "\",\"" + propertyValue + "\")"; 

// execute the query 
NpgsqlCommand insertCommand = new NpgsqlCommand(insertQuery, conn); 
insertCommand.ExecuteScalar(); 

Добавляя точки останова и проверки, я проверил, что строка insertQuery выглядит это перед отправкой:

insert into "Update" ("Vehicle","Property","Value") values (12345,"EngineSpeed","50") 

Когда я отправить этот запрос, PostgreSQL дает мне ошибку, которая обернута в виде исключения Npgsql, который гласит: ERROR: 42703: column "EngineSpeed" does not exist

из моего запроса, это должно быть очевидно, что EngineSpeed не столбец, это значение Property колонки, так естественно, столбец с таким именем вряд ли будет существовать. Так почему PostgreSQL обрабатывает мой запрос таким образом и как я могу решить эту проблему? Был ли мой запрос сконструирован неправильно?

Answer 1

Используйте одинарные кавычки для цитирования строк. Двойные кавычки используются для обозначения имен столбцов.

Answer 2

Нет, из запроса, который вы видите, очевидно, что EngineSpeed ​​- это столбец, потому что он экранирован как таковой.

Вы также не заботились о том, чтобы удостовериться, что пройденные значения были сбежаны, что может быть серьезной проблемой безопасности.

Вы хотите insert into "Update" ("Vehicle","Property","Value") values (12345,'EngineSpeed','50')

Что вы могли бы безопасно обеспечить:

string insertQuery = "insert into \"Update\" (\"Vehicle\",\"Property\",\"Value\") " + 
        "values (" + vehicleNum.ToString() + ",'" + propertyName.Replace("'", "''") + 
        "','" + propertyValue.Replace("'", "''") + "')"; 

Хотя вы лучше использовать параметры с NPGSQL, который будет обрабатывать это для вас, в том числе все эти неприятные случаи края нашего модульные тесты полны :)