安全string.Format对象C#

Question

我有一段时间以来第一次使用C#,我有一行这样的代码.

SQL = string.Format("PageName = '{0}'", bp.CommandArgument);

我需要知道如何从任何SQL注入保护对象"bp.CommandArgument".谢谢.

Answer 1

你为什么不使用sql参数？

string commandTxt = "SELECT ... FROM ... WHERE PageName=@PageName";
var command = new SqlCommand(commandTxt, connection);
command.Parameters.Add("@PageName", bp.CommandArgument);

我假设这connection是SqlConnection你声明的对象.