c#使用sqlite数据库，是不是转义了单引号就安全了

Question

只对单引号就行转义，其他的特殊字符都没处理。

str.Replace("'","''");

是不是就安全了。
我试了下//，/[， /]，/% 等在sqlite字符串里都不会转义。
应该不会被sql注入吧？

Answer 1

用 IDbCommand.Parameters 来加参数最安全，还简单。。
https://msdn.microsoft.com/en...