请问如何防止以下方法SQL注入攻击

Question

publicint count(string　where)
{
string s ="select isnull(count(*),0) from 表名where "+where;
return Convert.ToInt32(DBHelper.ExecuteScalar(CommandType.Text, s, null).ToString());
}

上面的方法除了防止过了参数外。　如何防止sql注入攻击。

Answer 1

如果是.net framework 3.5以上可以用linq 实现，也可防止注入