Jangan lakukan kueri dinamis dengan membuat string dan menjalankannya.
Gunakan sp_executesql dan berikan parameter sebagai parameter.
Anda akan menemukan bahwa injeksi sql tidak ada lagi.
EDIT :maaf, saya sedang terburu-buru dan menulis perintah yang salah. itu bukan sp_execute, ini sp_executesql; dibutuhkan string dan satu set parameter:semua pengkodean dan pelepasan parameter dilakukan oleh SQL Server.
EDIT2 :penjelasan pernyataan sp_executesql
