关于SQL注入

Question

我在所有用户输入的地方,以及通过GET全传值的地方,我在服务器端将如下关键字进行替换,我想请问这样做之后,SQL注入是不是100%解决了?或者说是我还需要改进哪些地方?public static string ReplaceDB(string s)    {        s = s.ToLower();        s = s.Replace("-", "—"); //sql注释符        s = s.Replace("'", "′");//SQL单引号        s = s.Replace("<", "&lt;");        s = s.Replace(">", "&gt;");      //下面是SQL关键字        s = s.Replace("drop", "ｄｒｏｐ");        s = s.Replace("delete", "ｄｅｌｅｔｅ");        s = s.Replace("update", "ｕｐｄａｔｅ");        s = s.Replace("select", "ｓｅｌｅｃｔ");        s = s.Replace("alter", "ａｌｔｅｒ");        return s;    }

Answer 1

最好是用参数化的方式

Answer 2

支持，对于SQL注入问题，最后是用存储过程替换SQL语句！