SQL注入无非就是把对单引号和双"-"进行转换。最好不要拼装SQL语句，以使用参数化的sql或者直接使用存储过程进行数据查询存取。
你拆分字符串的时候, 不加\\ 只要| 试试. 还有,建议,不要把符号也写在字符里, 这个容易出问题. 再看看你的xml编码. 是不是支持中文
