WPF使用SqlDataAdapter查询防注入

在WPF中，使用`SqlDataAdapter`进行数据检索时，虽然它不是直接涉及SQL语句编写，但依然需要注意防止SQL注入攻击。以下是几种推荐的做法：

1. **利用DataSet或DataTable**：
`SqlDataAdapter`通常配合`DataSet`或`DataTable`使用，先创建一个空表，然后填充数据。你可以使用`Fill()`方法，其中的参数是一个预先声明好的表格对象，而不是直接构造SQL查询。这样可以避免将用户输入直接插入到SQL语句中：

string query = "SELECT * FROM MyTable";
DataSet dataSet = new DataSet();
SqlDataAdapter adapter = new SqlDataAdapter(query, connectionString);
adapter.Fill(dataSet);

2. **使用Command对象**：
尽管`SqlDataAdapter`内部可能会使用`SqlCommand`，但也可以显式地创建并配置`SqlCommand`，并使用参数化查询来防止注入：

string searchTerm = "test%";
SqlCommand command = new SqlCommand("SELECT * FROM MyTable WHERE Column LIKE @searchTerm", connection);
command.Parameters.AddWithValue("@searchTerm", "%" + searchTerm + "%");
SqlDataAdapter adapter = new SqlDataAdapter(command);

3. **处理用户输入**：
在实际应用中，对用户输入进行转义或过滤，移除可能导致SQL解析错误的关键字和特殊字符。

4. **启用数据库层防御**：
后台数据库服务器也应该有相应的安全配置，比如启用参数化查询功能或使用存储过程。

总之，关键在于避免在SQL语句中直接使用来自用户的输入作为动态部分。即使是通过`SqlDataAdapter`间接操作，也要确保其底层使用的命令对象进行了正确的参数化处理。