在C#中防止SQL注入

Question

有没有C#代码中预防SQL注入，除了SQL语句中参数用@para 代替，和过滤特殊字符还有没有别的方法？
越多越好……

Answer 1

除了 SqlParameter 和字符替换.........防止SQL注入，使用Hibernate..这样的ORM工具把.

Answer 2

实事上,使用parameter是最完美的解决方案!
从效率,易用性,通用性等多方面考量我一直认为,使用一个工具或架构时,
那么就尽可能的使用它自身提供的方法或API来做,
不单单是避免重复造轮子的问题
而是这样更符合工业化产品生产流程!专业的人做专业的事,各负其责,
做研究和做定制除外
一点点小小的建议

Answer 3

规范的做法还是应该用para方式。免去很多事非。限制长度固然也是方法之一，但是万一忘记，后果也很可怕。

Answer 4

SqlParameter  方法最好，而且存储过程和text的sql都可以用。

Answer 5

正则判断 <>.=! 符号就行了。