このコードはSQLインジェクションを不可能にすることができますか？

Question

DNN PortalSecurity.csにこのコードが見つかりました。これは、入力文字列のSQLインジェクションを安全にするためのものです。私は、このコードがユーザ入力をきれいにして、パラメータ化されていないクエリ、つまりSQLインジェクションを防ぐことができるかどうかを知りたいですか？ここに何か問題はありますか？

private string FormatRemoveSQL(string strSQL) 
{ 
    const string BadStatementExpression = ";|--|create|drop|select|insert|delete|update|union|sp_|xp_|exec|/\\*.*\\*/|declare|waitfor|%|&"; 
    return Regex.Replace(strSQL, BadStatementExpression, " ", RegexOptions.IgnoreCase | RegexOptions.Compiled).Replace("'", "''"); 
} 

Answer 1

一般的なキーワードを削除するだけです。これをのように安全にするためには、管理者の観点からベンダーによって宗教的に管理されなければならないので、それは悪夢です。

また、このリストには、潜在的に危険なキーワードがすべて含まれていることが非常に疑わしいです。また、特定の文字列を入力する能力が制限されている場合もあります（ただし、これが望ましい場合もあります）。しかし、それはカジュアルなハッカーを望んでいるかもしれません。

私はこれを、入力文字列をやや安全にする素人の方法と呼んでいます。