StringBuilder

1、首先需要填写一个StringBuilder的扩展类

1namespace Code.Common
2{
3    /// <summary>
4    /// 扩展StringBuilder方法
5    /// 防止Sql注入
6    /// </summary>
7    public static class StringBuilderExtend
8    {
9        public static StringBuilder AppendFormatWithSafe(this StringBuilder a, string format, object arg0, StringBuilder where)
10        {
11            where.AppendFormat(format,
12                ((string)arg0)
13                .ToLower()
14                .Replace("update", "")
15                .Replace("delete", "")
16                .Replace("select", "")
17                .Replace("insert", "")
18                .Replace("from", "")
19                .Replace("or", "")
20                .Replace("'", "")
21                .Replace("@", "")
22                .Trim()
23             );
24            return where;
25        }
26    }
27}

2、讲这个扩展方法写成公有静态的，然后 每次new StringBuilder 拼接Sql语句的时候就可以调用。下面调用案例（用的petapoco的Page分页列表）

1public static Page<UserInfo> GetList(Page<UserInfo> model, int myUserId = 0, int currentPage = 1)
2        {
3            Page<UserInfo> u = new Page<UserInfo>();
4            using (DataAccess.Database db = new DataAccess.Database())
5            {
6                StringBuilder sql = new StringBuilder().Append(" select * from UserInfo where 1=1");
7                if (model.Item != null)
8                {
9                    if (!string.IsNullOrEmpty(model.Item.RealName))
10                    {
11                        sql.AppendFormatWithSafe(" and RealName like '%{0}%'", model.Item.RealName, sql);
12                    }
13                  
14                }
15                if (!string.IsNullOrEmpty(model.orderby))
16                {
17                    sql.AppendFormat(" order by {0}", model.orderby);
18                }
19                u = db.Page<UserInfo>(currentPage, CodeConfig.ItemsPerPage, sql.ToString(), myUserId);
20            }
21            return u;
22        }

总结：

　　这样就不用担心用户输入查询条件的是带有特殊字符，如（ @‘ ），可以做到防止Sql注入。