c# - 如何在 C# ASP.NET 中保护 SQL

Question

我有以下代码：

    [WebMethod]
    public static string addNewNote(string id, string txt)
    {
        Guid parentId = new Guid(id);
        DbProviderFactory dbf = DbProviderFactories.GetFactory();
        using (IDbConnection con = dbf.CreateConnection())
        {
            con.Open();
            using (IDbTransaction trn = con.BeginTransaction())
            {

                Guid noteId = Guid.Empty;
                SqlProcs.spNOTES_WebForms
                        (ref noteId,
                        parentId,
                        "Files",
                        "Client Note",
                        txt,
                        true
                        );
            }
        }
        return "";
    }

在其他语言（例如 PHP）中，存在诸如strip_tagsor之类的函数addslashes，mysqlrealescapestring它们会在将基于客户端的变量插入数据库之前对其进行清理或以其他方式清理它们。

是否存在任何此类功能，或者 C# ASP.NET 中是否需要任何此类功能。如您所见，我已经在使用存储过程。

Answer 1

如果您使用参数化查询，.Net 将为您处理变量卫生。