参数化查询的基础知识 我已经多次使用参数化查询，我知道它有助于防止SQL注入。 但是，我想知道是否可以知道在参数化查询中工作的基本逻辑是什么 防止SQL注入可能很简单，但我不知道。我试着在google上搜索它的基本功能，但每次我都发现了一个如何在Asp.net中使用参数化查询的示例 我知道如何创建一个特殊的类来停止SQL注入中使用的那些特殊字符，如（'，--等），但是只停止特殊字符是否完全阻止了SQL注入 最后一件事是.net参数化查询可以完全停止SQL注入吗

在我所知道的每个数据库引擎中，使用“prepared”（又名“parametrized”，或“static”）查询可以防止SQL注入。如果要将任何字符传递给参数，则不需要对其进行筛选。如果您编写的SQL是在代码中连接在一起的，而不是用参数编写的，那么您可能会面临SQL注入的风险。您应该阅读正在使用的数据库的安全手册，其中很可能有一节介绍SQL注入，但只需阅读全部内容即可。我打赌这将花费不到一个小时的时间，并将为您提供可靠的指导和信心，您将遵循适用于数据库的最佳实践。

我认为参数化查询不依赖于准备好的查询数据库支持。数据库驱动程序本身以安全的方式传递值，如何传递取决于驱动程序本身

数据库级别上的

另一方面，参数化查询简化了区域设置敏感数据的传递。

---

例如，用户输入100,00位小数，但您的服务器期望值为100.00

参数化查询是sql注入的解决方案