.NET DataView RowFilterに対するインジェクション攻撃

Question

DataView RowFilterプロパティを使用してAppRelativeCurrentExecutionFilePathに基づいてキャッシュされたDataTableをフィルタリングするハンドラを作成しています。注入攻撃を防ぐために入力をエンコードする最良の方法は何ですか？

次は十分ですか？より良い/よりエレガントな方法がありますか？

dataView.RowFilter = String.Format("Name LIKE '{0}%'", EncodeString(query)); 

private string EncodeString(string s) 
{ 
    StringBuilder sb = new StringBuilder(); 
    for (int i = 0; i < s.Length; i++) 
    { 
     char c = s[i]; 
     if (c == '*' || c == '%' || c == '[' || c == ']') 
      sb.Append("[").Append(c).Append("]"); 
     else if (c == '\'') 
      sb.Append("''"); 
     else 
      sb.Append(c); 
    } 

    return sb.ToString(); 
} 

Answer 1

RowFilterにsqlを挿入することはできません。

編集：

dataTable.AsEnumerable() 
    .Where(r => r.Field<string>("StringColumn").Contains(userInput)) 
    .ToList().ForEach(r => Console.WriteLine(r.Field<string>("StringColumn")));