Bash - Échapper à des guillemets simples

Question

J'ai reçu un script de base de données qui recherche des ID en double, quand on lui donne un ID, un nom de famille et un prénom. Voici la viande et les pommes de terre de celui-ci:

PSQL="psql -p $PGPORT -h $DBHOST -d $DB -tAc " 

DUP_ID=$($PSQL "SELECT id FROM inmate WHERE id NOT SIMILAR TO '(0*)${1}' AND lastname ILIKE '${_LNAME}' AND firstname ILIKE '${_FNAME}' LIMIT 1") 

fonctionne très bien, sauf quand la dernière ou le prénom a une apostrophe en elle, comme « O'Neil ». J'ai essayé d'échapper à une instance de «avec», et n'ont pas encore rencontré de succès. J'ai passé toute la journée à chercher sur les forums, et j'ai essayé différentes variantes, mais je n'ai toujours pas ajouté un \ devant chaque '.

Voici ce que je suis arrivé à ce jour:

local _LNAME=`echo "${2}" | sed "s/'/\\\'/g"` 
local _FNAME=`echo "${3}" | sed "s/'/\\\'/g"` 
echo -e $_LNAME 
echo -e $_FNAME 

# Output 

O'Neil 
Robert 

Comme toujours, merci à l'avance!

Answer 1

Ceci est la mauvaise façon de passer une commande complexe:

PSQL="psql -p $PGPORT -h $DBHOST -d $DB -tAc " 

Au lieu de cela, les tableaux d'utilisation:

single_quote="'" 
escaped_single_quote="\\'" 
quoted_fname=${1//$single_quote/$escaped_single_quote} 
quoted_lname=${2//$single_quote/$escaped_single_quote} 
psql=(psql -p "$PGPORT" -h "$DBHOST" -d "$DB" -tAc) 
dup_id=("${psql[@]}" "SELECT id FROM ... WHERE ... '${quoted_lname}'") 

... et puis en utilisant "${dup_id[@]}" pour exécuter votre commande vous protéger de la coquille bogues d'injection. n'est pas garanti pour vous protéger des attaques par injection SQL (il y a trop de façons de les effectuer, et les bases de données ont trop d'idiosyncrasies autour de la conversion du jeu de caractères pour faire confiance à l'échappement basé sur le remplacement des caractères), mais, bien, c'est pourquoi les gens qui sont préoccupés par l'exactitude ou la sécurité utilisent des langages qui prennent en charge les paramètres de liaison - un ensemble dont bash n'est pas un membre - pour générer des requêtes SQL. Voir aussi BashFAQ #50, et la page BashWeaknesses du wiki de la chaîne #bash de freenode.org - cette dernière appelle explicitement la génération SQL comme une tâche pour laquelle bash est inapte.

Answer 2

QUERY=(
    SELECT id FROM inmate WHERE 
    id NOT SIMILAR TO "'(0*)$1'" AND 
    lastname ILIKE "'$_LNAME'" AND 
    firstname ILIKE "'$_FNAME'" LIMIT 1 
) 
psql -p $PGPORT -h $DBHOST -d $DB -tAc "${QUERY[*]}"