如果存储过程是拼的SQL，那么要防止注入，怎么办？

是不是只能在执行存储过程之前替换掉敏感字符了？

---

应该是的，可以用正则去替换

---

引用

应该是的，可以用正则去替换

得寸进尺的问下，除了替换单引号，还需要替换哪些呢？谢谢~

---

C# code:

我自己一直是这么写的，希望对你有启发
#region 过滤字符
/// <summary>
/// 具体情况来定要过滤的字符
/// </summary>
/// <param name="param">要过滤的字符</param>
public static string CheckSaftParam(string param)
{

param = param.Replace("net user", "");
param = param.Replace("xp_cmdshell", "");
param = param.Replace("/add", "");
param = param.Replace("exec%20master.dbo.xp_cmdshell", "");
param = param.Replace("net localgroup administrators", "");
param = param.Replace("select", "");
param = param.Replace("'", "''");
param = param.Replace("insert", "");
param = param.Replace("delete", "");
param = param.Replace("drop", "");
param = param.Replace("truncate", "");