带方法的 SQL 命令中的参数化查询

Question

现在我想让它成为一个参数化查询，这样它就不容易被 SQL 注入。这是代码：

 string sqlText = "SELECT @EmployeeColumn FROM Test_Attachments WHERE Project_Id = @PID1 AND [Directory] = '" + qAttachment.Directory1.Replace("\\\\" + Root_Directory, "") + "' ";

 try 
 {
     SqlCommand myCommand = new SqlCommand(sqlText, SqlConnection);

     myCommand.Parameters.AddWithValue("EmployeeColumn", Employee_Column);
     myCommand.Parameters.AddWithValue("PID1", Project_ID1");
 }
 .....

如何使查询参数化？尤其是方法。谢谢

编辑： 对不起。我是在手机上输入的，所以有很多错别字。谢谢！

Answer 1

PID1 已经参数化，因此您可以对 Directory 进行类似的操作。 SELECT 子句中还有另一个问题，AddWithValue 无法选择要在 SELECT 中投影的列，但您可以对此进行验证（我添加了一个包含所有内容的示例，但应该进一步重构）

string sqlText = "SELECT {{columnName}} FROM Test_Attachments WHERE Project_Id =@PID1 AND [Directory] = @Directory";

var allowedColumns = new List<string>{"columnA", "columnB"};

if(allowedColumns.Contains(Employee_Column)
{
   sqlText = sqlText.Replace("{{columnName}}", Employee_Column);
} 
else
{
   throw new Exception($"Invalid Column {Employee_Column}");
}

try {
    SqlCommand myCommand = new SqlCommand(sqlText, SqlConnection);

    var directory = qAttachment.Directory1.Replace("\\\\" + Root_Directory, "");

     myCommand.Parameters.AddWithValue("@PID1", Project_ID1);
     myCommand.Parameters.AddwithValue("@Directory", directory);

     ...
}