c# param 在防止sql注入中的作用

在C#中，param关键字用于定义方法的参数。在防止SQL注入的上下文中，使用参数化查询（Parameterized Query）是一种有效的方法。参数化查询可以确保用户输入的数据与SQL命令本身分开，从而避免潜在的SQL注入攻击。

以下是一个使用参数化查询来防止SQL注入的C#示例：

using System.Data.SqlClient;string connectionString = "your_connection_string";string userInput = "user_input"; // 假设这是用户输入的数据// 使用参数化查询string query = "SELECT * FROM Users WHERE Username = @username";using (SqlConnection connection = new SqlConnection(connectionString)){    using (SqlCommand command = new SqlCommand(query, connection))    {        // 添加参数并设置值        command.Parameters.Add("@username", SqlDbType.VarChar).Value = userInput;        connection.Open();        using (SqlDataReader reader = command.ExecuteReader())        {            while (reader.Read())            {                // 处理查询结果            }        }    }}

在这个示例中，我们使用@username参数代替了直接将用户输入拼接到SQL查询字符串中。然后，我们使用command.Parameters.Add()方法将参数添加到SqlCommand对象中，并设置其值为用户输入的数据。这样，用户输入的数据将被视为参数值，而不是SQL命令的一部分，从而避免了SQL注入攻击。