MySqlCommand.Command.Parameters.Add устаревшее предупреждение: переход к AddWithValue

Вопрос:

При использовании MySqlCommand для вставки данных в базу данных MySQL вы получаете предупреждение о том, что «MySqlCommand.Command.Parameters.Add устарело» и значения параметров вставляются неправильно. Как решить эту проблему и обеспечить безопасность SQL-инъекций?

Ответ:

Чтобы устранить предупреждение и улучшить предотвращение SQL-инъекций, вам следует перейти от использования «Добавить» в «AddWithValue» для добавления параметров в MySqlCommand.

Изменено Код:

...
command.Parameters.AddWithValue("@mcUserName", mcUserNameNew);
command.Parameters.AddWithValue("@mcUserPass", mcUserPassNew);
command.Parameters.AddWithValue("@twUserName", twUserNameNew);
command.Parameters.AddWithValue("@twUserPass", twUserPassNew);
...

Дополнительные рекомендации:

• Удалите одинарные кавычки вокруг заполнителей параметров в инструкции SQL:

string SQL = "INSERT INTO `twMCUserDB` (`mc_userName`, `mc_userPass`, `tw_userName`, `tw_userPass`) VALUES (@mcUserName, @mcUserPass, @twUserName, @twUserPass)";