c# - C# での sqlite による SQL エスケープ

Question

テキスト フィールドがあり、SQL ステートメントが壊れています。そのフィールドのすべての文字をエスケープするにはどうすればよいですか? C#でhttp://sqlite.phxsoftware.com/でsqliteを使用しています

Answer 1

次のようにパラメーターを使用する必要があります。

SQLiteCommand cmd = _connection.CreateCommand();
cmd.CommandType = CommandType.Text;
cmd.CommandText = "SELECT * FROM MyTable WHERE MyColumn = @parameter";
cmd.Parameters.Add( new SQLiteParameter( "@parameter", textfield ) );
SQLiteDataReader reader = cmd.ExecuteReader();

パラメータ化された SQL を使用すると、すべての入力値がエスケープされ、SQL インジェクション攻撃から保護されます。

Answer 2

すべての一重引用符の区切り文字を疑わしい一重引用符（ "ではない）に置き換えることもできます。

sql = sql.Replace("'","''");