mysql - Vb.net Mysql : Escape String

Question

这是一个非常快速的问题

在数据库中更新或插入数据的一种方法是使用如下准备好的语句:

Dim cmd As New MySqlCommand("UPDATE `table` SET `field` = ?value", con)
cmd.Parameters.AddWithValue("?value", "user given value")
cmd.ExecuteNonQuery()

这样做是为了防止任何 SQL 注入(inject)的机会。我的问题是我是否使用 mysqlHelper 类来转义字符串。它等于准备好的陈述吗？换句话说，SQL 注入(inject)是否仍然可能？

这里是我如何使用转义字符的方法

Dim cmd As New MySqlCommand("UPDATE `table` SET `field` =" & MySqlHelper.EscapeString("user given value"),con)
cmd.ExecuteNonQuery()

Answer 1

是的，但通常最好使用参数以正确的方式进行。不建议使用上述内容。

Have a look here