C＃ASP.NET SQLパラメータ化

Question

文字のエスケープを避けるためにパラメータを使用する方法の例をいくつか見てきました。パラメータの使用はSQLインジェクションに対して100％安全ですか？

また、いくつかの基本的なクエリ（reguralyが使用されています）とパラメータの実装方法を教えてください。

私がここに来る前に検索したウェブサイトには、あまりにも複雑な例があります。次のように

Answer 1

パラメータ化されたSQLクエリの基本的な例は次のとおりです。

SqlCommand command = new SqlCommand(@"select city from users where username = @username", conn); 
SqlParameter param = new SqlParameter(); 
param.ParameterName = "@username"; 
param.Value = "abc123" 
command.Parameters.Add(param); 

connはあなたが確立してきましたSqlConnectionオブジェクトです。

@usernameは、コマンド実行時に置換されるパラメータ名です。

abc123は、この例で示した作成済みのユーザー名です。

これは明らかに構成されたシナリオですが、その点が分かります。

Answer 2

短いバージョンとして、あなたは私が何が100％安全であることを述べることを躊躇し

SqlCommand command = new SqlCommand(@"select city from users where username = @username", conn); 
command.Parameters.AddWithValue("@username", "value");