什么是参数化查询？
在MSSQL数据库中，为了防止SQL注入攻击，提高查询效率，我们需要使用参数化查询。参数化查询基本思想是将SQL语句与变量分离，将用户提供的数据值与SQL语句分离开来，以避免恶意代码注入，并且可以优化查询性能。
SQL注入攻击
SQL注入攻击指的是攻击者通过在前端输入二次注入恶意代码的方式，让数据库执行恶意SQL语句的攻击行为。这种攻击会导致用户的数据被窃取、篡改或删除，甚至可以将整个数据库瘫痪。以下是一个SQL注入攻击的例子：
SELECT * FROM user WHERE uid = 'admin' AND pwd = '123456' or 1=1 --'
上面的恶意代码通过在输入框中输入admin' AND pwd = '123456' or 1=1 --，注释掉了后面的代码，从而得以获取全部user表的数据，这就是SQL注入攻击。
参数化查询的优势
相比于直接拼接字符串的方式，参数化查询有如下优势：
减少SQL语句中的拼接字符串：将变量与查询语句分离，从根本上避免了拼接字符串的问题。
避免注入攻击：参数化查询可以防止攻击者通过输入恶意代码注入SQL语句。
提高查询性能：数据库在执行SQL语句时，需要进行语法分析、查询优化、执行计划等操作，而使用参数化查询可以将这些操作集中在代码编译时进行，减少了执行时间。
如何使用参数化查询？
在MSSQL中，我们使用SqlCommand对象来执行参数化查询。在代码中，我们先构造一个SQL语句，然后将其中需要进行变量替换的部分用"@"符号表示，最后将变量值与SQL语句一起传入SqlCommand对象中执行即可。以下是一个使用参数化查询的例子：
string connStr = "Data Source=xxx;Initial Catalog=xxx;User ID=xxx;Password=xxx;";
SqlConnection conn = new SqlConnection(connStr);
string sql = "SELECT userid, username FROM users WHERE username = @name";
SqlCommand cmd = new SqlCommand(sql, conn);
cmd.Parameters.Add(new SqlParameter("@name", "张三"));
SqlDataReader dr = cmd.ExecuteReader();
while (dr.Read())
{
Console.WriteLine(dr["userid"].ToString(), dr["username"].ToString());
}
dr.Close();
conn.Close();
上述代码中，我们先构造了一个SQL语句，使用@name表示了需要进行参数替换的部分。然后使用SqlCommand对象的Parameters属性添加了一个SqlParameter对象，将变量值"张三"与变量名"@name"绑定在一起。最后调用ExecuteReader()方法执行查询，得到查询结果。
总结
参数化查询是一种有效避免SQL注入攻击，提高查询性能的方式。在MSSQL中，我们使用SqlCommand对象来执行参数化查询，先构造SQL语句，再将查询参数与SqlCommand对象一起传入执行即可。在实际开发中，我们应该始终遵循参数化查询的原则，保护用户的数据安全和系统的稳定运行。