Sql防止注入问题

Question

我用asp.net（C#）编程，高手能不能告诉我如何防止“Sql语句注入”，前两天被人改了数据库，55555.

Answer 1

尽量用参数，不要拼接sql语句

Answer 2

            SqlCommand cmd = new SqlCommand("select * from table where uname=@username and pas=@pass");
            SqlParameterCollection pars = new SqlParameterCollection();
            SqlParameter par1 = new SqlParameter("@username", "用户名");
            SqlParameter par2 = new SqlParameter("@pass", "密码");
            pars.Add(par1);
            pars.Add(par2);

Answer 3

            SqlConnection conn = new SqlConnection("sql连接字符串");
            conn.Open();
            SqlCommand cmd = new SqlCommand("select * from table where uname=@username and pas=@pass");
            SqlParameterCollection pars = new SqlParameterCollection();
            SqlParameter par1 = new SqlParameter("@username", "用户名");
            SqlParameter par2 = new SqlParameter("@pass", "密码");
            pars.Add(par1);
            pars.Add(par2);
            cmd.Parameters = pars;
            SqlDataReader dr = cmd.ExecuteReader();
补充