在ASP.NET中转义SelectParameters

Question

我有以下SQLDataSource：

<asp:SqlDataSource ID="topicSource" runat="server" ConnectionString="<%$ ConnectionStrings" 
        SelectCommandType="Text" SelectCommand="SELECT * FROM tbl_Topic WHERE TopicId = @TopicId">
        <SelectParameters>
            <asp:QueryStringParameter Name="TopicId" QueryStringField="id" />
        </SelectParameters>
    </asp:SqlDataSource>

ASP.NET是否为我转义了select参数？如果没有，我该怎么做才能防止注射更安全？

Answer 1

是：在这种情况下，您可以完全免受SQL注入的影响。这就是以这种方式获取SQL参数的重点。