C# 调用接口传参数中带sql语句方法

在 C# 中调用接口传参中带 SQL 语句，可以采用以下方法：

1. 参数化查询：使用 SqlCommand 对象执行 SQL 语句，通过添加参数来传递 SQL 语句中的变量值，从而避免 SQL 注入攻击。

string sql = "SELECT * FROM table WHERE column = @value";
using (SqlConnection connection = new SqlConnection(connectionString))
{
    SqlCommand command = new SqlCommand(sql, connection);
    command.Parameters.AddWithValue("@value", "some value");
    connection.Open();
    SqlDataReader reader = command.ExecuteReader();
    while (reader.Read())
    {
        // do something
    }
}

2. 存储过程：将 SQL 语句封装为存储过程，通过调用存储过程执行 SQL 操作，可以避免在接口传参中直接暴露 SQL 语句。

using (SqlConnection connection = new SqlConnection(connectionString))
{
    SqlCommand command = new SqlCommand("stored_procedure_name", connection);
    command.CommandType = CommandType.StoredProcedure;
    command.Parameters.AddWithValue("@parameter1", "some value");
    connection.Open();
    SqlDataReader reader = command.ExecuteReader();
    while (reader.Read())
    {
        // do something
    }
}

3. 字符串过滤或编码：对于必须在接口传参中直接包含 SQL 语句的情况，可以通过字符串过滤或编码来防止 SQL 注入攻击。

string sql = "SELECT * FROM table WHERE column = '" + someVariable.Replace("'", "''") + "'";

但是这种方法不够安全，仍然存在风险，建议尽量避免。