SQL escape con sqlite in C#

Question

Ho un campo di testo e il suo rompere la mia istruzione sql. Come faccio a sfuggire a tutti i caratteri in quel campo? Sto usando SQLite con http://sqlite.phxsoftware.com/ in C#

Answer 1

Si deve usare un parametro come in:

SQLiteCommand cmd = _connection.CreateCommand(); 
cmd.CommandType = CommandType.Text; 
cmd.CommandText = "SELECT * FROM MyTable WHERE MyColumn = @parameter"; 
cmd.Parameters.Add(new SQLiteParameter("@parameter", textfield)); 
SQLiteDataReader reader = cmd.ExecuteReader(); 

Utilizzando uno SQL parametrizzato sfuggirà tutti i valori di ingresso e di contribuire a proteggere da attacchi di SQL injection.

Answer 2

È anche possibile sostituire tutti i delimitatori singoli citazione con il dubbio apici (non ").

sql = sql.Replace("'","''");