การป้องกัน SQL Injection ด้วย Parameter ใน .net

ตัวอย่าง

string ins_Sql;
ins_Sql = "INSERT INTO TBIPDPLIST(HN,DRUGCODE,RX_DATE)";
ins_Sql += " VALUES(@HN,@DRUGCODE,@RX_DATE)";
OleDbCommand insCmd = new OleDbCommand(ins_Sql, oledb_Conn);
insCmd.Parameters.Add("@HN", dbRead["HN"].ToString());

insCmd.Parameters.Add("@DRUGCODE", dbRead["DRUGCODE"].ToString());
insCmd.Parameters.Add("@RX_DATE", dbRead["RX_DATE"].ToString());

insCmd.ExecuteNonQuery();

จะเห็นว่าเราใช้วิธีการ @ นำหน้าชื่อ parameters

แล้วก็ใช้ method Parameters.Add ของ OleDbCommand ในการแทนที่ Parameter
เพียงเท่านี้ก็ป้องกัน SQL Injection ได้แล้วครับ