c# param 在防止sql注入中的作用

在C#中，param关键字用于定义方法的参数。在防止SQL注入的上下文中，使用参数化查询（Parameterized Query）是一种有效的方法。参数化查询可以确保用户输入的数据与SQL命令本身分开，从而避免潜在的SQL注入攻击。

以下是一个使用参数化查询来防止SQL注入的C#示例：

using System.Data.SqlClient;

string connectionString = "your_connection_string";
string userInput = "user_input"; // 假设这是用户输入的数据

// 使用参数化查询
string query = "SELECT * FROM Users WHERE Username = @username";

using (SqlConnection connection = new SqlConnection(connectionString))
{
    using (SqlCommand command = new SqlCommand(query, connection))
    {
        // 添加参数并设置值
        command.Parameters.Add("@username", SqlDbType.VarChar).Value = userInput;

        connection.Open();

        using (SqlDataReader reader = command.ExecuteReader())
        {
            while (reader.Read())
            {
                // 处理查询结果
            }
        }
    }
}

在这个示例中，我们使用@username参数代替了直接将用户输入拼接到SQL查询字符串中。然后，我们使用command.Parameters.Add()方法将参数添加到SqlCommand对象中，并设置其值为用户输入的数据。这样，用户输入的数据将被视为参数值，而不是SQL命令的一部分，从而避免了SQL注入攻击。