c# - SQL 注入(inject)和 LIKE 语句

Question

使用 LIKE 语句停止 SQL 注入(inject)的最佳方法是什么？所以这是一个代码示例:

string search = Server.HTMLDecode(userEnteredSearchText);
SqlCommand comm = new SqlCommand("SELECT Result WHERE (Keyword LIKE '%" + @search + "%') "
comm.Parameters.Add(new SqlParameter("search", search));

这是我一直在做的其他 sql 语句，似乎 ' 和 % 等特殊字符不能破坏这些语句，但我猜使用 LIKE 语句，您需要执行转义键或其他操作吗？

Answer 1

下面的代码对我来说看起来更清晰一些。

string search = Server.HTMLDecode(userEnteredSearchText);
SqlCommand comm = new SqlCommand("SELECT Result WHERE (Keyword LIKE @search) "
comm.Parameters.Add(new SqlParameter("search", String.Format("%{0}%", search)));