c# - Dapper LIKE 查询 MySql 是否安全，可以防止 Sql 注入(inject)？

Question

此查询与 Dapper 结合使用是否安全？如果不是，在MySql下写的正确方法是什么？或者有没有不使用 concat 的更好版本？

string sql = "SELECT * from user_profile WHERE FirstName LIKE CONCAT("%",@name,"%");"
var result = connection.query<profile>(sql, new {name});

Answer 1

该代码没有问题，但另一种方法是在调用者处执行连接，即

const string sql = "SELECT * from user_profile WHERE FirstName LIKE @name;";
var result = connection.Query<Profile>(sql, new {name = "%"+name+"%"});