C# sqlparameter如何防止sql注入

在C#中，使用SqlParameter可以有效防止SQL注入攻击。SqlParameter会将参数值与SQL查询分开处理，而不是将参数值直接拼接到SQL查询字符串中。这样可以确保参数值不会被解释为SQL代码的一部分，从而降低了SQL注入的风险。

以下是如何使用SqlParameter来防止SQL注入的示例：

using System; using System.Data.SqlClient;  class Program {     static void Main()     {         string connectionString = "your_connection_string";         string query = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";          using (SqlConnection connection = new SqlConnection(connectionString))         {             using (SqlCommand command = new SqlCommand(query, connection))             {                 // 添加参数                 SqlParameter usernameParam = new SqlParameter("@Username", SqlDbType.NVarChar);                 usernameParam.Value = "JohnDoe";                 command.Parameters.Add(usernameParam);                  SqlParameter passwordParam = new SqlParameter("@Password", SqlDbType.NVarChar);                 passwordParam.Value = "SecureP@ss";                 command.Parameters.Add(passwordParam);                  // 打开连接并执行查询                 connection.Open();                 using (SqlDataReader reader = command.ExecuteReader())                 {                     while (reader.Read())                     {                         Console.WriteLine($"Username: {reader["Username"]}, Password: {reader["Password"]}");                     }                 }             }         }     } } 

在这个示例中，我们使用了SqlConnection和SqlCommand对象来执行SQL查询，并通过SqlParameter对象添加了参数。这样，即使用户输入包含恶意SQL代码，也不会影响到查询的安全性，因为参数值不会被解释为SQL代码的一部分。