escape string til mysql

Ingenting.

Man bruger nemlig parameters i.s.f. !

Læs http://www.eksperten.dk/artikler/831 ...

(og ja - det kan også bruges med MySQL)

En kode snippet:

    MySqlConnection con = new MySqlConnection(CONNSTR);
    con.Open();
    MySqlCommand ins = new MySqlCommand("INSERT INTO daf VALUES (?id, ?path)", con);
    ins.Parameters.Add("?id", MySqlDbType.Int32);
    ins.Parameters.Add("?path", MySqlDbType.VarChar);
...
        ins.Parameters["?id"].Value = i;
        ins.Parameters["?path"].Value = fnm;
        ins.ExecuteNonQuery();
...
    con.Close();

kunne man ikke lave en funktion som automatisk returnede den valideret string ?

...

function __isValid ( @string )
{
      return @string.Replace("'","");
}

f.eks ?? ville det ikke være bedst? også kunne man lave
"INSERT INTO a (b) values ('__isValid('hell'hell')')"
?

INSERT INTO brugere (brugernavn, kodeord, email) VALUES ('" + user.Replace("'","''") + "','" + pass.Replace("'","''") + "','" + mail.Replace("'","''") + "')

det kan da stadig fuskes hvis man så indtaster '' OR name='
-->
INSERT INTO brugere (brugernavn) VALUES ('''' or name='')

Hvis du bruger parameters så laver ADO.NET provideren selv al den nødvendige escaping.