防止注入 RunCustomQuery（string SqlQuery， List<IDbDataParameter> SqlParameters）

问：

我们使用类 ， 连接到各种数据库并运行查询。DBLinker

它依赖于其核心方法，以返回查询结果或执行或查询（在第一种情况下可能返回新行的 ID）。RunCustomQuery(string p_strSqlQuery, List<IDbDataParameter> p_lisParameters)SelectInsertUpdateDelete

值得一提的是，查询可以在各种数据库系统上运行，具体取决于我不会详细介绍的属性。DBLinker

最近，我们所有的项目都经过了Kiuwan的分析。上述分析通过注入带来了非常高的漏洞。RunCustomQuery()

以下是相关代码，为简洁起见，进行了删减：

public virtual object RunCustomQuery(string p_strSqlQuery, out string p_strSqlActualQuery, List<IDbDataParameter> p_lisParameters = null)
{
    p_strSqlActualQuery = p_strSqlQuery;
    // [...]

    IDbCommand z_dcdCommand = null;
    IDbDataAdapter z_daaAdaptateur = null;
    try
    {
      // [...] create z_dcdCommand according to the target database system
      z_dcdCommand.CommandType = CommandType.Text;
      // [...]
      if (p_lisParameters != null)
      {
         foreach (IDbDataParameter z_dpaParameter in p_lisParameters) // Here Kiuwan says there's a data path sink
         {
            // [...]
            p_strSqlActualQuery =p_strSqlActualQuery.Replace(z_dpaParameter.ParameterName.ToString(),DBHelper.FormatForSql(z_dpaParameter, SGBD));            
            switch (SGBD)
            {
               case TypeSGBD.SqlServer:{  // RAS break; }
               case TypeSGBD.Oracle:
               case TypeSGBD.Sybase:
               {
                    // Caution: parameters must be declared in the same order in the query and in the list.
                    p_strSqlQuery = p_strSqlQuery.Replace(z_dpaParameter.ParameterName.ToString(), "?");
                    z_dpaParameter.ParameterName = "?";
                    break;
                }
             }
           z_dpaParameter.Direction = ParameterDirection.Input;
           z_dcdCommand.Parameters.Add(z_dpaParameter);
          }
        }

           z_dcdCommand.CommandText = p_strSqlQuery; // Here Kiuwan says there's a propagation path sink
           // [...]
           // [...] Actually run the command, with ExecuteReader(), a IDbDataAdapter or ExecuteNonQuery() according to the query type
       }
       catch (Exception z_excException)
       {
          // [...] Management (transaction rollback, among others)
          throw;
       }
       finally
       {
          // [...] Tie up loose ends
          z_dcdCommand?.Dispose();
       }
 }

显然，我们希望这些注入风险消失，但我不知道这里能做些什么。仅仅是没有什么可以保证“干净”的查询吗？在这种情况下，我看不出如何挽救该方法。p_strSqlQuery

另外，我不明白为什么 Kiuwan 会挑出这一行。foreach (p_lisParameters)

我们该怎么办？