c#输入框中如何过滤SQL注入

在C#应用程序中，可以使用参数化查询来防止SQL注入攻击。参数化查询是通过将用户输入的值作为参数传递给SQL查询来执行查询，而不是直接将用户输入的值拼接到SQL查询中。这样可以防止恶意用户利用输入框中的值来执行SQL注入攻击。

以下是一个简单的示例，演示如何使用参数化查询来过滤SQL注入：

using System;
using System.Data.SqlClient;

class Program
{
    static void Main()
    {
        // 获取用户输入
        Console.WriteLine("请输入用户名:");
        string username = Console.ReadLine();

        // 连接数据库
        string connectionString = "Data Source=yourdatasource;Initial Catalog=yourdatabase;Integrated Security=True";
        using (SqlConnection connection = new SqlConnection(connectionString))
        {
            connection.Open();

            // 创建SQL查询语句
            string sql = "SELECT * FROM Users WHERE Username = @Username";
            SqlCommand command = new SqlCommand(sql, connection);

            // 添加参数
            command.Parameters.AddWithValue("@Username", username);

            // 执行查询
            SqlDataReader reader = command.ExecuteReader();
            while (reader.Read())
            {
                Console.WriteLine(reader["Username"]);
            }
        }
    }
}

在上面的示例中，我们使用参数化查询来过滤用户输入的用户名，从而防止SQL注入攻击。通过将用户输入的值作为参数传递给SQL查询，我们可以确保用户输入的值不会被直接拼接到SQL查询中，从而保护数据库免受恶意用户的攻击。

除了使用参数化查询外，还可以对用户输入进行验证和过滤，以确保输入值符合预期的格式和范围。这可以帮助进一步提高应用程序的安全性，防止各种类型的攻击。