Escape SQL avec sqlite en C#

Question

J'ai un champ de texte et sa rupture mon instruction sql. Comment puis-je échapper à tous les chars dans ce domaine? J'utilise sqlite avec http://sqlite.phxsoftware.com/ en C#

Answer 1

Vous devez utiliser un paramètre comme dans:

SQLiteCommand cmd = _connection.CreateCommand(); 
cmd.CommandType = CommandType.Text; 
cmd.CommandText = "SELECT * FROM MyTable WHERE MyColumn = @parameter"; 
cmd.Parameters.Add(new SQLiteParameter("@parameter", textfield)); 
SQLiteDataReader reader = cmd.ExecuteReader(); 

L'utilisation d'un SQL paramétrisée échappera toutes les valeurs d'entrée et de vous protéger des attaques par injection SQL.

Answer 2

Vous pouvez également remplacer tous les délimiteurs guillemets simples avec doute des guillemets simples (non «).

sql = sql.Replace("'","''");