如何在 VB.net 中为 SQL 编码字符串

Question

例如，在sql中

所有`应该替换为``，对吧？

那么，vb.net 是否已经内置了一个可以完成此类操作的函数？

这样我就不必对其进行编码。

顺便说一句，我不直接访问sql数据库。基本上我正在创建一个文本文件，该文本文件包含原始 sql 语句。大多数答案都涉及直接访问 sql 数据。

Answer 1

我不这么认为，因为我认为唯一与此相关的情况是您执行不带参数的内联 SQL 命令。

这存在 SQL 注入 的风险，因此您应该创建如下命令：

Dim cmd As New SqlCommand("UPDATE [TableA] SET ColumnA=@ColumnA WHERE ID=@ID", Conn)
cmd.Parameters.Add("@ColumnA", SqlDbType.NVarChar).Value = txtColumnA.Text
cmd.Parameters.Add("@ID", SqlDbType.Int).Value = ID
cmd.ExecuteNonQuery()

Answer 2

不要尝试这样做！我知道您正在努力避免 SQL 注入，因此您对安全性的考虑值得赞扬。然而，自行执行消毒程序很容易出错。

在查询中使用以下参数

cmd.CommandText = "select * from customer where id=?id";

cmd.Parameters.AddWithValue("?id",CustomerIDValue);

Answer 3

如果您使用字符串，那么您将在代码中使用"，这样您就不需要转义这些字符。

Dim mySql As String = "SELECT `MyColumn` FROM `Table`"