Параметрированный SQL-запрос C#

Question

Это простой запрос, который я написал. Каким будет лучший способ параметризировать это, чтобы предотвратить SQL-инъекцию?

string selectQuery = "select [ID] from [myDB].[dbo].[myTable] where [myName] = '" + user.globalUserName + "'"; 

Answer 1

Вы можете использовать @ для определения параметра, например:

string selectQuery = "select [ID] from [myDB].[dbo].[myTable] where [myName] = @username;"; 

Затем вы можете определить параметр с помощью Command.Parameters функции, например:

cmd.Parameters.Add("@username", SqlDbType.VarChar); 
cmd.Parameters["@username"].Value = user.globalusername; 

или например:

cmd.Parameters.AddWithValue("@Username", user.globalusername);