如何让调用MyExecuteSQLQuery方法时触发CA2100 SQL注入警告

要让Visual Studio的代码分析器（CA2100规则）识别你的MyExecuteSQLQuery方法，并对不安全的SQL拼接调用触发警告，你需要给这个方法添加特定的属性标记，告诉分析器这是一个执行SQL命令的方法。下面是具体的实现步骤：

1. 添加SQL命令方法标记 #

在.NET 5及以上版本中，微软提供了SqlCommandMethodAttribute（位于System.Diagnostics.CodeAnalysis命名空间），专门用来标记自定义的SQL执行方法。给你的方法加上这个属性，指定哪个参数是SQL命令文本：

using System.Diagnostics.CodeAnalysis;
using MySql.Data.MySqlClient;

public static class SqlHelper
{
    // 标记sql参数为SQL命令文本，让CA2100识别并检查
    [SqlCommandMethod(CommandTextParameterName = "sql")]
    public static int MyExecuteSQLQuery(string sql, int timeout = 30)
    {
        using (MySqlConnection con = new MySqlConnection(DBConnectionstring))
        {
            con.Open();
            using (MySqlCommand cmd = new MySqlCommand(sql, con))
            {
                if (timeout != 30)
                {
                    cmd.CommandTimeout = timeout;
                }
                return cmd.ExecuteNonQuery();
            }
        }
    }
}

添加这个属性后，当你像下面这样拼接SQL字符串调用方法时：

MyExecuteSQLQuery("update credentials set password = '" + password +"' where id = " + id);

CA2100规则就会立刻触发警告，提示你存在SQL注入的安全风险。

2. 推荐：升级辅助方法支持参数化查询 #

虽然让CA2100检测到风险是你的目标，但更重要的是从根源避免SQL注入。建议你修改辅助方法，支持参数化查询：

public static int MyExecuteSQLQuery(string sql, params MySqlParameter[] parameters)
{
    using (MySqlConnection con = new MySqlConnection(DBConnectionstring))
    {
        con.Open();
        using (MySqlCommand cmd = new MySqlCommand(sql, con))
        {
            cmd.Parameters.AddRange(parameters);
            return cmd.ExecuteNonQuery();
        }
    }
}

调用时使用参数化的方式，既不会触发CA2100警告，又彻底杜绝了注入风险：

MyExecuteSQLQuery(
    "update credentials set password = @password where id = @id",
    new MySqlParameter("@password", password),
    new MySqlParameter("@id", id)
);

旧版本.NET的替代方案 #

如果你使用的是.NET Framework或更早版本，没有SqlCommandMethodAttribute，可以通过自定义代码分析规则来实现，但这个过程比较繁琐。更简单的方式是直接参考ADO.NET原生命令类的实现逻辑，或者升级到较新的.NET版本来使用上述属性。

内容的提问来源于stack exchange，提问作者chris