故意在ASP.NET Core 2.1.7中进行SQL注入

在ASP.NET Core 2.1.7中，可以使用参数化查询来预防SQL注入攻击。下面是一个示例代码：

public IActionResult GetUser(string username)
{
    using (var connection = new SqlConnection(connectionString))
    {
        connection.Open();
        var command = connection.CreateCommand();
        command.CommandText = "SELECT * FROM Users WHERE Username = @Username";
        command.Parameters.AddWithValue("@Username", username);
        var reader = command.ExecuteReader();

        // 处理查询结果
        // ...

        connection.Close();
    }

    // 返回结果
    // ...
}

在上面的示例中，我们使用参数化查询的方式，在SQL语句中使用@Username作为占位符，并使用command.Parameters.AddWithValue方法将实际的参数值传递给查询。这样可以确保输入的值不会被解释为SQL语句的一部分，避免了SQL注入攻击。

请注意，上述示例中的connectionString是数据库连接字符串，需要根据实际情况进行配置。另外，示例中的代码并没有完整处理查询结果和返回结果的逻辑，你需要根据实际需求进行补充。