asp.netでクエリをパラメータ化する方法は？

Question

私は、文字列連結がSQLインジェクションを受けやすいことを知りました。悲しいことに、私は既に自分のコードのほとんどに既に適用しています。私はパラメータ化されたクエリを組み込もうとしていますが、何とかオンラインの例が私の問題に答えることはありません。私が見たほとんどの例がこれです：

string query = "SELECT * FROM Products WHERE ProductID = @Id"; 
SqlCommand cmd = new SqlCommand(query, conn); 
cmd.Parameters.AddWithValue("@Id", Request.QueryString["Id"]); 

しかし、私はこのようなSQL文があるとします。また、

public static void CreateLingerieBrandsDatabase(string brand) 
{ 
    SqlConnection createBrandData = new SqlConnection(@"Data Source=Y560\SQLEXPRESS;Initial Catalog=LingerieItemsDB;Integrated Security=True"); 
    createBrandData.Open(); 
    SqlCommand cmdBrandData = new SqlCommand("CREATE TABLE lingerieItem" + brand + "(id int,type char(50),model char(50),price float,image1 char(255),image2 char(255),description text, [neck type], [color] char(50)); ", createBrandData); 
    cmdBrandData.ExecuteNonQuery(); 
    createBrandData.Close(); 
} 

を、私は意志、テキストボックス内の文字列ブランドの値を取得していますCreateLingerieBrandsDatabaseメソッドに渡されます。それは文字列連結に渡されます。ちなみに、なぜ私はlingerieItemGlamory、lingerieItemEvgenia、lingerieItemVictoriaのように各ブランドごとに3つのテーブルを作成しているので、テーブル名に文字列連結を使用する理由があります。管理者がテキストボックスにGlamoryを入力してからsubmitをクリックすると、アクセスするデータベーステーブルがわかります。

EDITED：上記の例では、私が言及した3つの以前のブランド（連結部分を除く）と同じテーブル名を持つ新しいデータベースを作成します。だから、アクセスするときは、アクセスするブランドを知ることになります。

私のコードは面倒で、私はまだ初心者です。皆さんが私にとってより良いソリューションを提案し、コードを改善できることを願っています。実際の例を示すことも高く評価されています。うわー！

Answer 1

パラメータで表名を置き換えることはできません。連結によって名前を構成する必要があります。そして、ブランド名ので、例えば、単にSQLインジェクションを防ぐために、そのリストに対してbrand変数の値をチェックし、特定の定義済みリストに限定されているように見える。：

public static void CreateLingerieBrandsDatabase(string brand) 
{ 
    SqlConnection createBrandData = new SqlConnection(@"Data Source=Y560\SQLEXPRESS;Initial Catalog=LingerieItemsDB;Integrated Security=True"); 
    createBrandData.Open(); 
    if (!Regex.Match(brand, @"^(?:Glamory|Evgenia|Victoria)$", RegexOptions.IgnoreCase).Success) 
     throw new ArgumentException("Invalid brand"); 
    SqlCommand cmdBrandData = new SqlCommand("CREATE TABLE lingerieItem" + brand + "(id int,type char(50),model char(50),price float,image1 char(255),image2 char(255),description text, [neck type], [color] char(50)); ", createBrandData); 
    cmdBrandData.ExecuteNonQuery(); 
    createBrandData.Close(); 
}