如何通过存储过程结合C#/ASP.NET Web Forms防范SQL注入？

你选的方向太对了——用参数化查询（而非字符串拼接）是防范SQL注入的核心手段，结合OleDbParameter能彻底避免恶意SQL被执行。我把你的代码补全并整理成规范的实现，顺便给你划几个关键要点：

完整的参数化查询实现 #

public DataTable getDataTable(string sSQL, List<OleDbParameter> param, string sConnectionString) 
{
    return getOledbDataTable(sSQL, param, sConnectionString);
}

public DataTable getOledbDataTable(string sSQL, List<OleDbParameter> param, string sConnectionString) 
{
    // 用using语句自动释放资源，避免连接/内存泄漏
    using (OleDbConnection cn = new OleDbConnection(sConnectionString))
    using (OleDbCommand oCmd = new OleDbCommand(sSQL, cn))
    {
        // 添加参数集合到命令对象
        if (param != null && param.Count > 0)
        {
            oCmd.Parameters.AddRange(param.ToArray());
        }

        cn.Open();
        using (OleDbDataAdapter adapter = new OleDbDataAdapter(oCmd))
        {
            DataTable dt = new DataTable();
            adapter.Fill(dt);
            return dt;
        }
    }
}

关键注意事项（划重点！） #

• OleDb参数是位置匹配的：不像SqlClient支持命名参数，OleDb要求你添加参数的顺序必须和SQL语句里的?占位符顺序完全一致。比如SQL是SELECT * FROM Users WHERE Id = ? AND Name = ?，那第一个参数必须对应Id，第二个对应Name
• 绝对禁止拼接用户输入到SQL：哪怕是看起来“安全”的输入，也绝对不要直接拼到sSQL字符串中，所有动态值都要用参数传递
• using语句必须加：确保数据库连接、命令、适配器这些资源被及时释放，避免服务器连接池耗尽

举个调用示例，帮你更清晰理解用法：

// 查询指定ID和名称的用户
string sql = "SELECT * FROM Users WHERE UserId = ? AND UserName = ?";
List<OleDbParameter> parameters = new List<OleDbParameter>()
{
    new OleDbParameter("@UserId", OleDbType.Integer) { Value = 123 },
    new OleDbParameter("@UserName", OleDbType.VarChar, 50) { Value = "JohnDoe" }
};

DataTable result = getDataTable(sql, parameters, yourConnectionString);

内容的提问来源于stack exchange，提问作者Big. D