string query = "SELECT * FROM yh WHERE "+username+"=@uname AND " + password +"=@umima"; 如果进行SQL注入防护是什么样子

在上述代码片段中，存在SQL注入的风险，因为直接将用户输入拼接到SQL查询语句中，这可能导致恶意用户通过输入特定的数据来改变查询的意图，从而获取非法的数据访问权限或对数据库执行恶意操作。

为了防止SQL注入，应该使用参数化查询（也称为预处理语句），这种技术可以确保传入的参数不会被解释为SQL代码的一部分。下面是使用参数化查询来避免SQL注入的示例：

string query = "SELECT * FROM yh WHERE username=@uname AND password=@umima";
// 假设使用的是某种数据库访问API，如ADO.NET
using (var cmd = new SqlCommand(query, connection)) {
    cmd.Parameters.AddWithValue("@uname", username);
    cmd.Parameters.AddWithValue("@umima", password);
    // 执行查询...
}

在这个改进的例子中，我们不再直接将`username`和`password`变量拼接到SQL语句中，而是定义了参数占位符`@uname`和`@umima`，然后通过`Parameters.AddWithValue`方法将实际的变量值安全地传递给SQL命令对象。