Est-ce que cette façon d'exécuter la procédure est sûre à partir de SQL Injection?

Question

exemple de code de DAL:

J'utilise C# et SQL SERVER comme base de données.

j'ai écrit singleton de l'objet de base de données, et par exemple la fonction que exceute procédure à partir de MSSQL, utilisant DbCommand et base de données-AddInParameter

J'ai trouvé des sujets qui parle de parametes et injection sql mais Je veux savoir à ce sujet manière spécifique

private Database m_db; 
public Database getDB 
{ 
     get 
     { 
      if(m_db == null) 
        m_db = DatabaseFactory.CreateDatabase("ConnectionString"); 
      return m_db; 
     } 
} 


public void Example(string Name) 
{ 
    DbCommand dbcmd = getDB.GetStoredProcCommand("dbo.Example"); 
    getDB.AddInParameter(dbcmd, "p_Name", DbType.String, Name); 
    getDB.ExecuteNonQuery(dbcmd); 
} 

grâce

Answer 1

La procédure dbo.Example peut exécuter sans aucun doute encore qu rès qui n'est pas sûr, par exemple:

create proc dbo.Example (@pName varchar(100)) 
as 
    declare @cmd varchar(max); 
    set @cmd = 'select Somedata from Sometable where Somecolumn = '+ @pName; 
    exec (@cmd); 

Code Safe utilise le paramètre proc dans une requête exactement comme paramètre

create proc dbo.Example (@pName varchar(100)) 
as 
    select Somedata from Sometable where Somecolumn = @pName;