克里斯托夫·佩图斯：你的所有GUC一网打尽：backslash_quote
💡
原文英文，约600词，阅读约需3分钟。
📝
内容提要
PostgreSQL中的backslash_quote参数控制SQL字符串中的单引号表示方式。该参数有三个值：on（接受\'）、off（拒绝\'）和safe_encoding（仅在安全编码下接受\'）。虽然该参数因2006年的SQL注入漏洞而存在，但使用标准字符串和参数化查询使其在大多数情况下无关紧要。建议将safe_encoding设置为默认值，以确保安全性。
🎯
关键要点
- backslash_quote参数控制SQL字符串中单引号的表示方式。
- 该参数有三个值：on（接受'）、off（拒绝'）和safe_encoding（仅在安全编码下接受'）。
- backslash_quote参数的存在源于2006年的SQL注入漏洞，主要涉及多字节字符编码。
- SQL标准通过双引号表示嵌入的引号，而PostgreSQL也接受反斜杠转义的非标准字符串字面量。
- safe_encoding是默认值，自2006年补丁发布以来一直如此，确保在安全编码下接受反斜杠。
- 在2026年，使用标准字符串和参数化查询使得backslash_quote参数在大多数情况下无关紧要。
- 建议将backslash_quote设置为safe_encoding，以确保安全性，且不会影响现代应用程序。
❓
延伸问答
backslash_quote参数的作用是什么？
backslash_quote参数控制SQL字符串中单引号的表示方式，决定是否接受反斜杠转义的单引号。
backslash_quote参数有哪些可选值？
该参数有三个值：on（接受反斜杠转义的单引号）、off（拒绝反斜杠转义的单引号）和safe_encoding（仅在安全编码下接受反斜杠转义的单引号）。
为什么backslash_quote参数在2026年仍然存在？
该参数因2006年的SQL注入漏洞而存在，虽然现代应用程序大多使用参数化查询，使其在大多数情况下无关紧要，但仍需兼容旧应用。
如何设置backslash_quote参数以确保安全性？
建议将backslash_quote设置为safe_encoding，以确保在安全编码下接受反斜杠转义的单引号。
使用参数化查询对backslash_quote参数的影响是什么？
使用参数化查询后，backslash_quote参数变得无关紧要，因为参数化查询不会进行转义，从而避免了引号注入的风险。
在什么情况下可以将backslash_quote设置为off？
可以在需要严格安全控制的环境中将backslash_quote设置为off，以强制应用程序使用标准的单引号表示方式。
🏷️
标签
➡️
