如果確定在資料庫看到的是那種代碼的話 應該是程式端你過濾掉了
例如
參數=過濾的func(參數); // 會把 ' 變成你說的"#123" 等等HTML代碼
string sql="insert into table(a,b) values('"+參數+"',b)";
executeSQL(sql);