c# winform 拼接sql 防止sql注入

在 C# WinForm 中拼接 SQL 语句时，为了防止 SQL 注入攻击，可以采用参数化查询的方式。具体步骤如下：

1. 定义 SQL 语句，使用参数占位符来代替实际的参数值，例如：

string sql = "SELECT * FROM users WHERE username = @username AND password = @password";

2. 创建 SqlCommand 对象，并设置参数。例如：

SqlCommand cmd = new SqlCommand(sql, connection);
cmd.Parameters.AddWithValue("@username", txtUsername.Text);
cmd.Parameters.AddWithValue("@password", txtPassword.Text);

3. 执行查询并获取结果。例如：

SqlDataReader reader = cmd.ExecuteReader();
while (reader.Read())
{
    // 处理查询结果
}

通过采用参数化查询的方式，可以将参数值与 SQL 语句分离，从而防止 SQL 注入攻击。同时，也可以避免不必要的字符串拼接操作，提高代码的可读性和安全性。