对SQL注入漏洞的一个疑问!

Question

比如 一个搜索的功能,输入关键字,查询数据库中的名称字段Name,
假如string sql = String.Format("select * from Tb_A where Name = '{0}',txtName.Text);
这样的话 有注入漏洞的.
但是如果语句是在存储过程里面,也就是说 txtName.Text被当做参数传进 了查询存储过程,没有使用SqlParameter,这样的话还会有注入漏洞吗?

Answer 1

存储过程，没使用parameter? 那用什么传