用于防止SQL注入的参数化查询

Question

有人可以帮我重写此代码行，以在将变量CMA_AAP_ID传递给GetList方法之前对其进行参数化吗？

public virtual IList<KGV_CMS_PHYSICAL_MAPPINGS> GetAssociatedPhysicalMappings()
{
    return CMS_MAPPINGS.GetList(string.Format("from CMS_MAPPINGS as MAPPINGS where MAPPINGS.MAP_ID in ( select MAP_ID from FIELD_MAP_APP as FieldsAppls where FMA_APP_ID = {0} )", CMA_APP_ID));
}

Answer 1

您可以尝试以下操作：

Answer 2

您的CMS_MAPPINGS.GetList（...）看起来像什么，猜测这是原始sql例程的包装器，这很好，但是您在那里进行注入保护可能会更安全，这意味着要添加其他参数。