Secure string.Format對象C＃

Question

我在C＃中第一次在一段時間內工作，我有這樣的一行代碼。

SQL = string.Format("PageName = '{0}'", bp.CommandArgument); 

我需要知道如何從任何SQL注入中保護對象「bp.CommandArgument」。謝謝。

Answer 1

爲什麼不使用sql參數？

string commandTxt = "SELECT ... FROM ... WHERE PageName=@PageName"; 
var command = new SqlCommand(commandTxt, connection); 
command.Parameters.Add("@PageName", bp.CommandArgument); 

我認爲connection是已宣佈SqlConnection對象。