sql >> Database >  >> RDS >> Sqlserver

C# SqlCommand - kan geen parameters gebruiken voor kolomnamen, hoe op te lossen?

Zoals vermeld, kunt u de fundamentele query niet parametriseren, dus u zult de query zelf tijdens runtime moeten bouwen. Je moet op de witte lijst zetten de input hiervan, om injectieaanvallen te voorkomen, maar fundamenteel:

// TODO: verify that "slot" is an approved/expected value
SqlCommand command = new SqlCommand("SELECT [" + slot +
           "] FROM Users WHERE [email protected]; ")
prikaz.Parameters.AddWithValue("name", name);

Op deze manier @name is nog steeds geparametreerd enz.



  1. Maak onderhoudsplannen in SQL Server

  2. PDO heeft statement fetch() voorbereid en geeft dubbele resultaten

  3. Algoritme dat zoekt naar gerelateerde items op basis van algemene tags

  4. Een database-e-mailaccount toevoegen aan een profiel (T-SQL)