c#拼接SQLserver的sql 防止sql注入

在 C# 中拼接 SQL Server 的 SQL 语句时，为了防止 SQL 注入攻击，应该使用参数化查询。

参数化查询是一种将查询参数与 SQL 查询语句分开的技术。这样可以避免 SQL 注入攻击，因为查询参数不会被解释为 SQL 代码。

下面是一个使用参数化查询的示例代码：

using (SqlConnection connection = new SqlConnection(connectionString))
{
    string sql = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";

    using (SqlCommand command = new SqlCommand(sql, connection))
    {
        command.Parameters.AddWithValue("@Username", username);
        command.Parameters.AddWithValue("@Password", password);

        connection.Open();

        SqlDataReader reader = command.ExecuteReader();

        // 处理查询结果
    }
}

在上面的代码中，我们使用 @Username 和 @Password 作为占位符来代替输入的用户名和密码。然后，使用 `AddWithValue` 方法将输入的用户名和密码作为参数添加到 `SqlCommand` 对象中。最后，执行查询并处理结果。

使用参数化查询可以确保输入的数据不会被解释为 SQL 代码，从而避免 SQL 注入攻击。