在C#中，使用SqlParameter类可以有效防止SQL注入攻击。SqlParameter类将参数与SQL查询分开，确保用户输入的数据不会被解释为SQL代码。以下是如何使用SqlParameter来防止SQL注入的示例：
首先，确保已经安装了System.Data.SqlClient命名空间。
云服务器
物理服务器
虚拟主机
跨境电商服务器using System.Data;
using System.Data.SqlClient;
然后，创建一个SqlConnection对象和一个SqlCommand对象，并将SqlParameter对象添加到SqlCommand的Parameters集合中。
string connectionString = "your_connection_string";
string queryString = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";
using (SqlConnection connection = new SqlConnection(connectionString))
{
using (SqlCommand command = new SqlCommand(queryString, connection))
{
// 添加参数
SqlParameter usernameParam = new SqlParameter("@Username", SqlDbType.VarChar) { Value = "username_value" };
SqlParameter passwordParam = new SqlParameter("@Password", SqlDbType.VarChar) { Value = "password_value" };
command.Parameters.Add(usernameParam);
command.Parameters.Add(passwordParam);
// 打开连接并执行查询
connection.Open();
SqlDataReader reader = command.ExecuteReader();
// 处理结果
while (reader.Read())
{
// ...
}
}
}
在这个示例中，我们使用@Username和@Password作为参数占位符，并将它们与实际的值一起添加到SqlCommand的Parameters集合中。这样，即使用户尝试在用户名或密码中插入恶意SQL代码，也不会影响查询的安全性。
辰迅云「云服务器」，即开即用、新一代英特尔至强铂金CPU、三副本存储NVMe SSD云盘，价格低至29元/月。点击查看>>
推荐阅读： c# efcore如何优化查询