Как защитить эту функцию от SQL-инъекций?

Question

public static bool TruncateTable(string dbAlias, string tableName)
{
    string sqlStatement = string.Format("TRUNCATE TABLE {0}", tableName);
    return ExecuteNonQuery(dbAlias, sqlStatement) > 0;
}

Answer 1

Вы можете использовать SQLParameter для передачи значения tableName. Насколько я знаю и проверял, SQLParameter берет на себя все проверки параметров и, таким образом, отключает возможность внедрения.