c++ - C++による入力のサニタイズ

Question

SQLiteデータベースの入力をサニタイズしようとしsqlite3_mprintfていて、それを使用していますが、奇妙な結果が得られています。さまざまなバリエーションを試しましたが、何か間違ったことをしていますか？

const char * zChar = "It's a nice day";
cout << sqlite3_mprintf("INSERT INTO table(col1) VALUES('%Q')", zChar) << endl;
//INSERT INTO table(col1) VALUES(''It''s a nice day'')

cout << sqlite3_mprintf("INSERT INTO table(col1) VALUES(%Q)", zChar) << endl;
//INSERT INTO table(col1) VALUES('It''s a nice day')

cout << sqlite3_mprintf("INSERT INTO table(col1) VALUES('%q')", zChar) << endl;
//INSERT INTO table(col1) VALUES('It''s a nice day')

cout << sqlite3_mprintf("INSERT INTO table(col1) VALUES(%q)", zChar) << endl;
//INSERT INTO table(col1) VALUES(It''s a nice day)

Answer 1

sqlite3_mprintf("INSERT INTO table(col1) VALUES(%Q)", zChar)
//INSERT INTO table(col1) VALUES('It''s a nice day')

sqlite3_mprintf("INSERT INTO table(col1) VALUES('%q')", zChar)
//INSERT INTO table(col1) VALUES('It''s a nice day')

これらはどちらも正しいです。''エスケープされた引用です。この%Qオプションは、周囲の引用符自体を追加するだけです。

Answer 2

ドキュメントによると、これは予想される動作です。ドキュメントには、次のようにも記載されています。

原則として、テキストを文字列リテラルに挿入するときは、常に %s ではなく %q を使用する必要があります。