c# param 在防止sql注入中的作用

在C#中，param关键字用于定义方法的参数。在防止SQL注入的上下文中，使用参数化查询（Parameterized Query）是一种有效的方法。参数化查询可以确保用户输入的数据与SQL命令本身分开，从而避免潜在的SQL注入攻击。

以下是一个使用参数化查询来防止SQL注入的C#示例：

using System.Data.SqlClient;  string connectionString = "your_connection_string"; string userInput = "user_input"; // 假设这是用户输入的数据  // 使用参数化查询 string query = "SELECT * FROM Users WHERE Username = @username";  using (SqlConnection connection = new SqlConnection(connectionString)) {     using (SqlCommand command = new SqlCommand(query, connection))     {         // 添加参数并设置值         command.Parameters.Add("@username", SqlDbType.VarChar).Value = userInput;          connection.Open();          using (SqlDataReader reader = command.ExecuteReader())         {             while (reader.Read())             {                 // 处理查询结果             }         }     } } 

在这个示例中，我们使用@username参数代替了直接将用户输入拼接到SQL查询字符串中。然后，我们使用command.Parameters.Add()方法将参数添加到SqlCommand对象中，并设置其值为用户输入的数据。这样，用户输入的数据将被视为参数值，而不是SQL命令的一部分，从而避免了SQL注入攻击。