Экранирование символов для отправки SQL-запроса

[Lord_Alfred]

Столкнулся с проблемой, что я не понимаю как наиболее правильно экранировать спецсимволы в переменной, которая затем подставляется в sql запрос.

Обычно экранирование символов - это метод, который предоставляется из провайдера для СУБД, которую используешь.

Для MySQL везде советуют использовать в C#:

MySql.Data.MySqlClient.MySqlHelper.EscapeString("YOUR DATA STRING")

Но у нас ведь нет доступа к классу MySql? А если делать экранирование через "Regex.Escape()" - правильно ли это?

Вторая ситуация.
Если не использовать C# код, а брать кубики - как правильно экранировать данные?
Будут ли они экранироваться, если "использовать параметры в запросе":

?

Потому что просто подстановка переменной в тело запроса как раз приводит к тому, что там переменная не экранированная (что логично), но тогда крайне не логично, что в поле "значение" в скрине выше - нельзя вставить переменную, точнее нет ни автокомплита, ни при клике на ПКМ - там нет выпадающего списка с переменными (это ужас как неудобно).

 

[LaGir]

Если не использовать C# код, а брать кубики - как правильно экранировать данные?
Будут ли они экранироваться, если "использовать параметры в запросе":

Одно из предназначений параметров - как раз экранирование, можно сказать, это и есть правильный подход.
В коде, при использовании методов ZennoPoster.Db для связи с БД - создаём OrderedDictionary, заполняем его параметрами, вставляем как аргумент: