当必须动态创建SQL语句时，如何使用参数防止SQL注入？

Question

我有部分可能的代码如下。 我必须通过使用添加代码之类的参数来防止SQL注入

myCommand.Parameters.AddWithValue("@mystring", myString);

有可能使用吗？

因为我有一些动态参数，例如“ select XXX，XXX，....”。

count = myStringLists.count;
sql.Append(" select");

foreach(string myString in myStringLists)
{    
    sql.Append(string.Format("{0} ", myString));

    if ((count--) > 1) sql.Append("\n ,"); else sql.Append("\n  ");
}

Answer 1

您可以使用sp_executesql执行动态sql

请参考sp_executesql