安全string.Format對象C＃

Question

我一段時間以來第一次使用C＃工作，我有一行這樣的代碼。

SQL = string.Format("PageName = '{0}'", bp.CommandArgument);

我需要知道如何從任何SQL注入中保護對象“ bp.CommandArgument”。 謝謝。

Answer 1

為什么不使用sql參數？

string commandTxt = "SELECT ... FROM ... WHERE PageName=@PageName";
var command = new SqlCommand(commandTxt, connection);
command.Parameters.Add("@PageName", bp.CommandArgument);

我假設connection是您已聲明的SqlConnection對象。