DbSet.SqlQuery(String, Object[]) Método

Cria uma consulta SQL bruta que retornará entidades neste conjunto. Por padrão, as entidades retornadas são controladas pelo contexto; isso pode ser alterado chamando AsNoTracking no DbRawSqlQuery retornado. Observe que as entidades retornadas são sempre do tipo para esse conjunto e nunca de um tipo derivado. Se a tabela ou tabelas consultadas puderem conter dados para outros tipos de entidade, a consulta SQL deverá ser gravada adequadamente para garantir que apenas entidades do tipo correto sejam retornadas.

Assim como acontece com qualquer API que aceite o SQL, é importante parametrizar qualquer entrada do usuário para proteger contra um ataque de injeção de SQL. Você pode incluir os titulares de ponto de parâmetro na cadeia de caracteres de consulta SQL e, em seguida, fornecer valores de parâmetro como argumentos adicionais. Todos os valores de parâmetro fornecidos serão convertidos automaticamente em um DbParameter. contexto. Set(typeof(Blog)). SqlQuery("SELECT * FROM dbo. Postagens WHERE Author = @p0", userSuppliedAuthor); Como alternativa, você também pode construir um DbParameter e fornecê-lo ao SqlQuery. Isso permite que você use parâmetros nomeados na cadeia de caracteres de consulta SQL. contexto. Set(typeof(Blog)). SqlQuery("SELECT * FROM dbo. Postagens WHERE Author = @author", new SqlParameter("@author", userSuppliedAuthor));