关于SQL注入

Question

我在所有用户输入的地方,以及通过GET全传值的地方,我在服务器端将如下关键字进行替换,

我想请问这样做之后,SQL注入是不是100%解决了?或者说是我还需要改进哪些地方?

public static string ReplaceDB(string s)
    {
        s = s.ToLower();

        s = s.Replace("-", "—"); //sql注释符

        s = s.Replace("'", "′");//SQL单引号

        s = s.Replace("<", "&lt;");

        s = s.Replace(">", "&gt;");

      //下面是SQL关键字
        s = s.Replace("drop", "ｄｒｏｐ");

        s = s.Replace("delete", "ｄｅｌｅｔｅ");

        s = s.Replace("update", "ｕｐｄａｔｅ");

        s = s.Replace("select", "ｓｅｌｅｃｔ");

        s = s.Replace("alter", "ａｌｔｅｒ");
        return s;
    }

Answer 1

最好是用参数化的方式

Answer 2

支持，对于SQL注入问题，最后是用存储过程替换SQL语句！