防止SQL注入

Question

是否有一个接受字符串作为参数并返回"已清理"字符串的函数,以便支持SQL注入保护？

Answer 1

您可以使用AddWithValue方法添加参数,如下所示:

SqlCommand cmd = new SqlCommand("Select * From Test Where TestID = @TestID");
cmd.Parameters.AddWithValue("@TestID", 5);