什么是防止SQL注入的好方法？

Question

什么是防止SQL注入的好方法？

我必须为我的OJT公司编写应用程序管理系统。前端将在C＃中完成，后端在SQL中完成。

现在我从未做过这个范围的项目; 在学校我们只有关于SQL的基础课。不知怎的，我们的老师完全没有讨论SQL注入，我现在才通过在网上阅读它来接触它。

所以无论如何我的问题是：你如何防止C＃中的SQL注入？我隐约认为可以通过正确屏蔽应用程序的文本字段来完成它，以便它只接受指定格式的输入。例如：电子邮件文本框的格式应为“[e-mail]”。这种方法是否足够？或者.NET是否有预定义的方法来处理这样的东西？我可以将过滤器应用于文本框，因此它只接受电子邮件地址格式或名称文本框，因此它不接受特殊字符吗？

Answer 1

我的回答很简单：使用Entity Framework在C＃和SQL数据库之间进行通信。这将使参数化的SQL字符串不易受SQL注入攻击。作为奖励，它也很容易合作。