Dans ce code il existe plusieurs trous de sécurité : à vous de les découvrir !

DataSet RecupererDonnees(String^ OrderID)
{

String^ sqlStmt = "Select OrderID from Orders where OrderID='" + OrderID + "'";
SqlClient::SqlConnection^ cnx;
cnx=gcnew SqlClient::SqlConnection(ChaineConnexion()) ;
SqlCommand^ cmd=cnx->CreateCommand ();
cmd->CommandText =sqlStmt;
cmd->CommandType =CommandType::Text ;

cmd->Connection =cnx;

SqlDataAdapter^ da=gcnew SqlDataAdapter (cmd);
DataSet^ ds=gcnew DataSet();
cnx->Open ();
da->Fill (ds);

return ds;
}

<pseudo Code="">
DataSet RecupererDonnees(String^ OrderID)
{
//1) Testez la longueur OrderID : Evite qu’une trop grande chaine soit envoyé (DOS)
if (OrderID->Length >MAX_LEN)
Throw new Exception(....)

//2) Vérifiez que cette saisie correspond à une pattern bien définie
if (Regex::IsMatch (OrderID,"MaPattern") ==false
Throw new Exception

//3) Utilisez les objets commande qui formaterons correctement la requête SQL

SqlClient::SqlConnection cnx;
cnx.ConnectionString= ChaineConnexion(); SqlClient::SqlParameter param;
param.DbType =DbType::String ;
param.ParameterName ="@OrderID";
param.Value =OrderID;
SqlClient::SqlCommand cmd;
cmd.CommandText =" Select * from employes where login=@OrderID ";
....
cmd.Connection =%cnx;
cmd.Parameters->Add (%param);

SqlDataAdapter^ da=gcnew SqlDataAdapter (cmd);
DataSet^ ds=gcnew DataSet();
cnx->Open ();
da->Fill (ds);
return ds;
}

Note :
Nous pourrions encore améliorer ce code, en appelant une procédure stockée, et en gérant les exceptions correctement.