Tengo por un lado una clase AccesoDatos donde pongo toda la programación de conexión a la BD y por otro lado estoy trabajando en una ventana desde la cual quiero enviar una Store Procedure de SQL con sus respectivos valores. La idea es evitar la Inyección, pero las formas que he encontrado para hacerlo me impiden enviar los valores a través del método que realiza la consulta.
Esta es la forma en que está el código en la ventana y que quiero evitar:
ad.actualizarBD("exec insertarGarante @dni = " + item1.pDNI + ", @tipoDNI = " + item1.pTipoDNI + ", @sugerencias = '" + 0 + "', @idContrato = " + idContrato + " ");
Este es el método en la clase AccesoDatos
:
public void actualizarBD(string comando)
{
try
{
Conectar();
cmd = new SqlCommand();
cmd.Connection = cn;
cmd.CommandText = comando;
cmd.ExecuteNonQuery();
}
catch (Exception e)
{
MessageBox.Show("Error: " + e.ToString());
}
finally
{
Desconectar();
}
}
Desde ya muchas gracias