tsql - public void Execute(string sql) は危険と見なされますか?

Question

アセンブリにこのようなメソッドを実装すると危険と見なされますか?

 public void Execute(string sql)
        {
            using (SqlConnection connection = new SqlConnection("MyConnectionString....."))
            {
                SqlCommand command = new SqlCommand(sql, connection);
                connection.Open();
                command.ExecuteNonQuery();                
            }
        }

Answer 1

渡すSQL文字列が動的に構築されており、ユーザー入力の連結が含まれている場合は危険です。それ以外の場合は、一般的に悪い習慣と見なされます。ストアド プロシージャが最善の策です。

SQL インジェクションに関する OWASP の記事は次のとおりです。