MySqlCommand.Command.Parameters.Add Aviso obsoleto: transição para AddWithValue

Pergunta:

Ao usar MySqlCommand para inserir dados em um banco de dados MySQL, você recebe um aviso indicando que "MySqlCommand.Command.Parameters.Add está obsoleto" e os valores dos parâmetros não estão sendo inseridos corretamente. Como você resolve esse problema e garante a segurança da injeção de SQL?

Resposta:

Para resolver o aviso e melhorar a prevenção de injeção de SQL, você deve fazer a transição do uso de "Adicionar" para "AddWithValue" para adicionar parâmetros ao seu MySqlCommand.

Código modificado:

...
command.Parameters.AddWithValue("@mcUserName", mcUserNameNew);
command.Parameters.AddWithValue("@mcUserPass", mcUserPassNew);
command.Parameters.AddWithValue("@twUserName", twUserNameNew);
command.Parameters.AddWithValue("@twUserPass", twUserPassNew);
...

Considerações adicionais:

• Remova as aspas simples em torno dos espaços reservados de parâmetro em sua instrução SQL:

string SQL = "INSERT INTO `twMCUserDB` (`mc_userName`, `mc_userPass`, `tw_userName`, `tw_userPass`) VALUES (@mcUserName, @mcUserPass, @twUserName, @twUserPass)";