1. 简介
在使用MSSQL进行查询时，参数化查询是一种非常重要的技术。参数化查询可以提高查询效率、防止SQL注入攻击，减少安全风险。
2. 什么是参数化查询？
参数化查询是指将SQL查询语句中的变量以参数的形式传递给数据库，而不是将变量插入到SQL语句中进行查询。参数化查询可以在查询语句中使用占位符?
2.1 参数化查询的优点
提高查询效率：使用参数化查询会将SQL查询语句和参数分开，从而最大限度地减少SQL编译的开销，提高查询效率。
防止SQL注入攻击：由于参数化查询使用占位符而不是将参数插入到SQL语句中，因此可以有效防止SQL注入攻击。
3. 如何实现参数化查询？
在MSSQL中，可以使用SqlCommand对象对查询进行参数化。
3.1 使用SqlCommand对象进行参数化查询
以下是一个简单的MSSQL查询代码：
string commandText = "SELECT * FROM Customers WHERE Country = '" + country + "'";
SqlCommand command = new SqlCommand(commandText, connection);
SqlDataReader reader = command.ExecuteReader();
在上面的代码中，使用字符串拼接的方式将变量country插入到SQL语句中进行查询。这种方式存在安全隐患，容易受到SQL注入攻击。
现在，我们使用参数化查询对上面的查询进行改进：
string commandText = "SELECT * FROM Customers WHERE Country = @Country";
SqlCommand command = new SqlCommand(commandText, connection);
command.Parameters.AddWithValue("@Country", country);
SqlDataReader reader = command.ExecuteReader();
在上面的代码中，我们使用@Country表示查询语句中的占位符，使用SqlCommand对象的Parameters属性来添加参数。在AddWithValue方法中，我们使用@Country作为参数名，将变量country传递给它。这样就完成了参数化查询。
3.2 使用SqlParameter对象进行参数化查询
除了使用Parameters.AddWithValue方法外，还可以使用SqlParameter对象来完成参数化查询。以下是一个SqlParameter对象的示例：
string commandText = "SELECT * FROM Customers WHERE Country = @Country";
SqlCommand command = new SqlCommand(commandText, connection);
SqlParameter parameter = new SqlParameter();
parameter.ParameterName = "@Country";
parameter.Value = country;
command.Parameters.Add(parameter);
SqlDataReader reader = command.ExecuteReader();
在上面的代码中，我们创建了一个SqlParameter对象parameter，并将它的ParameterName属性设置为@Country，Value属性设置为变量country的值，最后将SqlParameter对象添加到SqlCommand对象的Parameters集合中。
4. 总结
使用MSSQL进行查询时，参数化查询是一种非常重要的技术。它可以提高查询效率、防止SQL注入攻击，减少安全风险。使用SqlCommand对象和SqlParameter对象可以非常方便地实现参数化查询。