c# sqlhelper如何防止sql注入

在C#中，使用SQLHelper类来防止SQL注入的关键是使用参数化查询。参数化查询是一种将查询和数据分开的方法，它可以确保用户输入的数据不会被解释为SQL代码的一部分。这样可以有效防止SQL注入攻击。

以下是一个使用SQLHelper类进行参数化查询的示例：

首先，创建一个SQLHelper类，用于封装数据库操作：

public static class SQLHelper
{
    private static string _connectionString = "your_connection_string";

    public static DataTable ExecuteQuery(string query, SqlParameter[] parameters)
    {
        using (SqlConnection connection = new SqlConnection(_connectionString))
        {
            connection.Open();
            using (SqlCommand command = new SqlCommand(query, connection))
            {
                command.Parameters.AddRange(parameters);
                using (SqlDataReader reader = command.ExecuteReader())
                {
                    DataTable result = new DataTable();
                    result.Load(reader);
                    return result;
                }
            }
        }
    }
}

然后，使用SQLHelper类执行参数化查询：

public class UserRepository
{
    public DataTable GetUsersByUsername(string username)
    {
        string query = "SELECT * FROM Users WHERE Username = @Username";
        SqlParameter parameter = new SqlParameter("@Username", SqlDbType.NVarChar) { Value = username };

        return SQLHelper.ExecuteQuery(query, new SqlParameter[] { parameter });
    }
}

在这个示例中，我们使用了参数化查询，将用户名作为参数传递给查询。这样，即使用户输入包含恶意SQL代码，它也只会被当作字符串处理，而不会影响查询的结构。从而有效地防止了SQL注入攻击。