SQLParameter如何防止SQL注入？
到底什么是在后台，使SQLParameter可以防止在.NET参数化查询中的SQL Inection攻击？ 它只是剥离任何可疑的字符或有什么更多的呢？
有没有人在那里检查，当你通过恶意input实际到达SQL Server？
相关： 你可以在SQL FROM语句中使用SQLParameter吗？
基本上，当您使用SQLCommand执行SQLCommand ，参数不会直接插入到语句中。 而是调用名为sp_executesql的系统存储过程，并给定SQLstring和参数数组。
当这样使用时，这些参数被隔离并作为数据处理，而不必从语句中parsing出来（因此可能改变它），所以参数包含的内容永远不会被“执行”。 你会得到一个很大的错误，参数值在某些方面是无效的。
一个更容易理解，更普遍的答案是这样的：
想象一下dynamicSQL查询：
sqlQuery='SELECT * FROM custTable WHERE User=' + Username + ' AND Pass=' + password
一个简单的SQL注入只是把用户名放在' OR 1=1--
这将有效地使SQL查询：
sqlQuery='SELECT * FROM custTable WHERE User='' OR 1=1-- ' AND PASS=' + password
这就是说select所有的用户名是空白的（ '' ）或1=1 ，这是一个布尔值，等于true。 然后使用--将其余的查询注释掉。 因此，这将打印出整个客户表，或让您做任何你想做的事情。
现在参数化的查询以不同的方式执行，代码如下：
sqlQuery='SELECT * FROM custTable WHERE User=? AND Pass=?' parameters.add("User", username) parameters.add("Pass", password)
其中用户名和密码是指向相关的input用户名和密码的variables。
现在，在这一点上，你可能会认为，这根本没有任何改变。 当然，你仍然可以只是把用户名字段像没有人或1 = 1' – 有效地进行查询：
sqlQuery='SELECT * FROM custTable WHERE User=Nobody OR 1=1'-- AND Pass=?'
这似乎是一个有效的论点。 但是，你会错的。
参数化查询的工作方式是将SQL查询作为查询发送，并且数据库确切知道该查询将执行什么操作，只有这样才能将用户名和密码作为值插入。 这意味着它们不会影响查询，因为数据库已经知道查询将执行什么操作。 所以在这种情况下，它会查找一个Nobody OR 1=1'--的用户名Nobody OR 1=1'--以及一个空的密码，它应该是错误的。
这不是一个完整的解决scheme，inputvalidation仍然需要完成，因为这不会影响其他问题，如xss攻击，因为您仍然可以将JavaScript放入数据库。 然后，如果这是读出到一个页面上，它会显示为正常的JavaScript，取决于任何输出validation。 所以最好的做法仍然是使用inputvalidation，但使用参数化查询或存储过程来阻止任何SQL攻击。
资料来源： http : //www.lavamunky.com/2011/11/why-parameterized-queries-stop-sql.html
“像SqlParameterCollection这样的参数集合提供了types检查和长度validation，如果使用参数集合，input被视为一个字面值，而SQL Server不会将其视为可执行代码，使用参数集合的另外一个好处是你可以执行types和长度检查，范围之外的值触发exception，这是一个深度防御的好例子。
当使用参数化查询时，攻击面将被减less到使用参数。
请使用SqlParameters ，但不要忘记溢出，下溢和未经validation的参数。 例如，如果方法是“proc buy_book (@price money ）”，那么恶意攻击者就会试图欺骗应用程序运行，将@price设置为0.01 ，或者试图让应用程序执行一些有趣的事情，溢出。 Sql溢出往往不是有趣的（即他们只是引起exception，你不可能写入相邻的内存）
