C# - Parametreli Sorgu

Question

Ekle/Güncelle ve Seçme Sorgularını kullanan bir DB2 veritabanı kullanan bir .net web sitesinde çalışıyorum. SQL Injection hakkında araştırma yaptım ve SQL Injection'dan kaçınmak için sorgumu parametrelendirdiğime inanıyorum. Doğru bir şekilde yapıp yapmadığımı kontrol edebilir misiniz ve bunu yapmanın daha iyi bir yolu ya da daha yeterli yolu var mı?

strInsert = "INSERT INTO DATABASE.Table(NUMBER,SIGNATURE,MESSAGE,CDATE,CTIME) VALUES (?,?,?,?,?)"; 

DB2Command cmdInsertQuery = new DB2Command(strInsert, db2Connection1); 

cmdInsertQuery.Parameters.Add("NUMBER", i); 
cmdInsertQuery.Parameters.Add("SIGNATURE", strSignature.Trim()); 
cmdInsertQuery.Parameters.Add("MESSAGE", strMessage.Trim()); 
cmdInsertQuery.Parameters.Add("CDATE", DateTime.Now.ToShortDateString()); 
cmdInsertQuery.Parameters.Add("CTIME", DateTime.Now.ToShortTimeString()); 
cmdInsertQuery.ExecuteNonQuery(); 

Sorgu, verileri doğru bir şekilde ekler ve iyi çalışır.

Answer 1

Evet, doğru bir şekilde yaptınız. SQL enjeksiyon sorunlarının farkında olduğunuzu ve onu ortadan kaldırmanın yollarını denediğinizi bilmek çok güzel.

Answer 2

eklenti kullanımı addwithvalue itiraz edildi, hala neredeyse eklenti ile aynı şeyi yapar ama benim visual studio hep ağlıyor o

Örnek

string insertStatement = 
      "Insert Login VALUES(@username,@password,@publicKey,@privateKey,@salt)"; 
      SqlCommand insertCommand = new SqlCommand(insertStatement, connection); 
      insertCommand.Parameters.AddWithValue("@username", username); 

Answer 3

ve orada daha iyi bir yol ya da daha yeterli Bunu yapmanın yolu? seçeneklerden

biri https://github.com/StackExchange/dapper-dot-net