is public void Execute (string sql)가 위험하다고 생각합니까?

Question

어셈블리에서 이와 같은 메소드를 구현하면 위험한 것으로 간주됩니까?

public void Execute(string sql) 
     { 
      using (SqlConnection connection = new SqlConnection("MyConnectionString.....")) 
      { 
       SqlCommand command = new SqlCommand(sql, connection); 
       connection.Open(); 
       command.ExecuteNonQuery();     
      } 
     } 

Answer 1

그것은 당신이 전달하는 SQL 문자열을 동적으로 작성되는 경우 위험하고 사용자 입력의 연결이 포함되어 있습니다. 그렇지 않으면 일반적으로 나쁜 습관으로 간주됩니다. 저장 프로 시저가 최선의 방법입니다.

Here is the OWASP article on SQL Injection