c# param 如何正确使用参数化查询

在C#中，使用参数化查询可以提高安全性和性能

1. 首先，引入必要的命名空间：

using System.Data;
using System.Data.SqlClient;

2. 创建一个方法来执行参数化查询：

public void ExecuteParameterizedQuery()
{
    // 定义连接字符串
    string connectionString = "your_connection_string";

    // 定义SQL语句和参数
    string sqlCommandText = "INSERT INTO Users (Username, Email) VALUES (@username, @email)";

    // 创建一个SqlConnection对象
    using (SqlConnection connection = new SqlConnection(connectionString))
    {
        // 创建一个SqlCommand对象
        using (SqlCommand command = new SqlCommand(sqlCommandText, connection))
        {
            // 添加参数
            command.Parameters.Add("@username", SqlDbType.NVarChar).Value = "exampleUsername";
            command.Parameters.Add("@email", SqlDbType.NVarChar).Value = "exampleEmail@example.com";

            // 打开连接
            connection.Open();

            // 执行参数化查询
            int rowsAffected = command.ExecuteNonQuery();

            // 输出结果
            Console.WriteLine($"Rows affected: {rowsAffected}");
        }
    }
}

在这个示例中，我们定义了一个名为ExecuteParameterizedQuery的方法。该方法使用参数化查询将新记录插入到名为Users的表中。我们使用SqlConnection和SqlCommand对象来执行查询，并使用command.Parameters.Add()方法添加参数。最后，我们调用command.ExecuteNonQuery()方法执行查询并返回受影响的行数。

请注意，为了避免SQL注入攻击，请始终使用参数化查询而不是直接将用户输入拼接到SQL语句中。