העברת מחרוזת לSQL

[כלליים]

העברת מחרוזת לSQL

שבוע טוב

כתבתי קוד בC# ששולח פקודות לsql. מכיוון שהפורום פה מונע העתקת מילים 'חשודות', צרפתי צילום מסך.
השגרה AddMsg יוצרת את המחרוזת של הפקודה, והשגרה RunCommand מריצה אותה.

הבעיה היא שאני מעדכן את השדה MsgBodyHtml, במחרוזת html, שמטבע הדברים כוללת בתוכה גרש וגם גרשיים ועוד כל מיני תווים בעיתיים.
איך אני יכול להגדיר שכל המחרוזת תשלח לשרת as is, שלי שהוא ייתן משמעות מיוחדת לתווים שיש במחרוזת?

 

[כלליים]

והנה הקוד

 

[pitoach]

וואו... שאלה מאוד חשובה!

אתה עובד בצורה איומה ונוראית שמאפשרת הזרקת שאילתות (דבר שכבר הרבה מאוד שנים לא אמור להיות בשום מערכת חדשה וכבר נסגר לפני יותר מ 10 שנים בכל הטכנולוגיות ה"חדשות")

הדרך הנכונה היא להעביר נתונים בצורה פרמטרים ובשום אופן לא בצורה שירשור של השאילתה

כדאי לחפש בגוגל את צירוף המילים הבא:
sqlcommand parameters example

או להיסתפק בקישור הראשון:
http://msdn.microsoft.com/en-us/library/system.data.sqlclient.sqlcommand.parameters.aspx

 

[כלליים]

אנסה

האמת היא שמדובר באפליקציה שנועדה לשימושי האישי, על המחשב האישי שלי, מול השרת שלי.. כך שמאבטחה אינני חושש.
אבל אנסה את הכיוון שהמלצת, ואשוב לעדכן.

תודה