Question

C#中String.Format可以防止sql注入吗

Answer 1

不能，要防止sql注入有2种方案：

1. 过滤替换掉所有的非法字符

2. 使用参数化方式

   
   

Answer 2

通过参数传递:
string sql = "select count(*) from zhuce where username=@username and pwd=@pwd and type = @type";
SqlConnection conn = new SqlConnection(Common.Context.SqlManager.CONN_STRING);
conn.Open();

SqlCommand cmd = new SqlCommand(sql, conn);
cmd.Parameters.Add("@username",SqlDbType.VarChar，30);
cmd.Parameters.Add("@pwd",SqlDbType.VarChar，30);
cmd.Parameters.Add("@type",SqlDbType.VarChar，10);
cmd.Parameters["@username"].Value = username;
cmd.Parameters["@pwd"].Value = pwd;
cmd.Parameters["@type"].Value = power.Text;

int count = Convert.ToInt32(cmd.ExecuteScalar());

conn.Close();