在C#中使用XML字段modify()时如何绑定SqlCommand参数

Question

我在使用modify()函数转义SQL以便在XML字段中使用时遇到问题：

示例代码：

new SqlCommand("UPDATE Table " +
  "SET xmlField.modify('insert " + xml_string + " as last into (/element)[1]') " +
  "WHERE id = @id", conn, transaction);

@id可以通过SqlCommand.Parameters.Add(..)在C#中绑定，但是xml_string位于modify方法内部，将不允许参数绑定。

那么如果我想防止 SQL 注入，我该如何处理这个 xml_string 呢？是否有类似于 System.Security.SecurityElement.Escape() 的 SQL 转义方法？

Answer 1

好吧，我终于让它工作了：

new SqlCommand("UPDATE Table " +
  "SET xmlField.modify('insert sql:variable(\"@xml_string\") as last into (/element)[1]') " +
  "WHERE id = @id", conn, transaction);

然后在参数绑定中，一定要使用 XML 数据类型而不是 Char (!)，否则它将无法工作：

cmd.Parameters.Add("@xml_string", SqlDbType.XML).Value = xml_string;