c# - 安全字符串格式对象 C#

Question

我有一段时间第一次使用 C# 工作，我有这样一行代码。

SQL = string.Format("PageName = '{0}'", bp.CommandArgument);

我需要知道如何保护对象“bp.CommandArgument”免受任何 SQL 注入(inject)攻击。谢谢。

Answer 1

为什么不用sql参数？

string commandTxt = "SELECT ... FROM ... WHERE PageName=@PageName";
var command = new SqlCommand(commandTxt, connection);
command.Parameters.Add("@PageName", bp.CommandArgument);

我假设 connection 是您声明的 SqlConnection 对象。