SQL 데이터베이스를 쿼리하는 함수의 보안

Question

아래 코드는 "안전"하다고 생각합니까?

Public Function GetManager(ByVal uname As String) As String 
    Dim strSelect = String.Format("SELECT UserName FROM aspnet_Users INNER JOIN Hierarchy ON UserId = LineManagerID WHERE StaffID = (SELECT UserId FROM aspnet_Users WHERE UserName = '{0}')", uname) 
    Dim cmdCommand = New SqlCommand(strSelect, _connection) 
    GetManager = cmdCommand.ExecuteScalar() 
End Function 

내가 특별히 부분을 찾고 있어요

..

where UserName = {'0'}, uname 

바로 아포스트로피 몇 가지 잠재적 인 스크립팅 공격에 나를 열어야 말에 나는 건가요?

감사합니다.

DS

Answer 1

아니요, 안전하지 않습니다. uname-parameter는 SQL 명령 인 문자열에 삽입됩니다. 악의적 인 사용자가 SQL을 사용하는 모든 문자열을 보낼 수 있습니다. SQL 주입을 방지하기 위해 How do I create a parameterized SQL query? Why Should I?