Secure string.Format对象C＃

Question

我在C＃中第一次在一段时间内工作，我有这样的一行代码。

SQL = string.Format("PageName = '{0}'", bp.CommandArgument); 

我需要知道如何从任何SQL注入中保护对象“bp.CommandArgument”。谢谢。

Answer 1

为什么不使用sql参数？

string commandTxt = "SELECT ... FROM ... WHERE PageName=@PageName"; 
var command = new SqlCommand(commandTxt, connection); 
command.Parameters.Add("@PageName", bp.CommandArgument); 

我认为connection是已宣布SqlConnection对象。