Wie kann ich Parameter verwenden, um SQL-Injektion zu verhindern, wenn ich SQL-Anweisung dynamisch erstellen muss?

Question

Ich habe einen Teil wahrscheinlich Code wie folgt. Ich muss verhindern, SQL-Injektion mit Parameter wie hinzufügen Code

Ist es möglich, es zu verwenden?

Da habe ich einige dynamische Parameter wie "Wählen Sie XXX, XXX, ....".

count = myStringLists.count; 
sql.Append(" select"); 

foreach(string myString in myStringLists) 
{  
    sql.Append(string.Format("{0} ", myString)); 

    if ((count--) > 1) sql.Append("\n ,"); else sql.Append("\n "); 
} 

Answer 1

können Sie sp_executesql verwenden dynamische SQL ausführen

verweisen auf sp_executesql