Thoát SQL bằng sqlite trong C#

Question

Tôi có một trường văn bản và khai báo câu lệnh sql của tôi. Làm cách nào để thoát khỏi tất cả các ký tự trong trường đó? Tôi đang sử dụng SQLite với http://sqlite.phxsoftware.com/ trong C#

Answer 1

Bạn nên sử dụng một tham số như trong:

SQLiteCommand cmd = _connection.CreateCommand(); 
cmd.CommandType = CommandType.Text; 
cmd.CommandText = "SELECT * FROM MyTable WHERE MyColumn = @parameter"; 
cmd.Parameters.Add(new SQLiteParameter("@parameter", textfield)); 
SQLiteDataReader reader = cmd.ExecuteReader(); 

Sử dụng SQL parametrised sẽ thoát khỏi tất cả các giá trị đầu vào và giúp bảo vệ bạn khỏi các cuộc tấn công SQL injection.

Answer 2

Bạn cũng có thể thay thế tất cả delimiters quote duy nhất với nghi ngờ dấu nháy đơn (không phải ").

sql = sql.Replace("'","''");