C#のコード解説お願いします

Question

リンク
上記サイトのプログラムを見ていてわからないところがあります。
下記コードの//SQLの準備 の部分がなにをしているのか具体的にわかりません。できればクラスやメソッドレベルで詳しく解説していただきたいです。
よろしくお願いします。
（C＃初心者です。）

using System;
using System.Configuration;
using System.Data.SqlClient;
 
public void Insert1(string id, string password, string role)
{
    // 接続文字列の取得
    var connectionString = ConfigurationManager.ConnectionStrings["sqlsvr"].ConnectionString;
 
    using (var connection = new SqlConnection(connectionString))
    using (var command = connection.CreateCommand())
    {
        try
        {
            // データベースの接続開始
            connection.Open();
 
            // SQLの準備
            command.CommandText = @"INSERT INTO T_USER (ID, PASSWORD, ROLE_NAME) VALUES (@ID, @PASSWORD, @ROLE_NAME)";
            command.Parameters.Add(new SqlParameter("@ID", id));
            command.Parameters.Add(new SqlParameter("@PASSWORD", password));
            command.Parameters.Add(new SqlParameter("@ROLE_NAME", role));
 
            // SQLの実行
            command.ExecuteNonQuery();
        }
        catch (Exception exception)
        {
            Console.WriteLine(exception.Message);
            throw;
        }
        finally
        {
            // データベースの接続終了
            connection.Close();
        }
    }
}

Answer 1

INSERT文を作って実行するのですが、実際にINSERする値を外部から指定しています。
分かりやすく言うと関数に引数を渡しているのと同じです。

sqlを組み立てるときに以下のように直接文字列を操作することもできるのですが
SQLインジェクションという最狂にして最恐のセキュリティの脆弱性を持たせてしまいます。

command.commandText + @"INSERT INTO T_USER (ID, PASSWORD, ROLE_NAME) VALUES ('" + id + "', '" + password 
 + "','" + role + "')";

SQLインジェクションのwikipedia
https://ja.wikipedia.org/wiki/SQL%E3%82%A4%E3%83%B3%E3%82%B8%E3%82%A7%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3

@IDというパラメータでSQL文を作っておいて、@IDの実際の値をParameters.Add しています。

パラメータにすることで、危険な文字列はすべて自動でエスケープされて安全なSQL文を実行します。

Comments

[panjaA]

大変わかりやすかったです！
ありがとうございました。