如果确定在数据库看到的是那种代码的话 应该是程式端你过滤掉了
例如
参数=过滤的func(参数); // 会把 ' 变成你说的"#123" 等等HTML代码
string sql="insert into table(a,b) values('"+参数+"',b)";
executeSQL(sql);