在C#中，避免注入攻击的关键是使用参数化查询和参数化命令。通过使用参数化查询，可以将用户输入的数据作为参数传递给数据库查询，而不是将其直接拼接到查询语句中，从而避免了注入攻击的风险。
以下是一些在C#中避免注入攻击的最佳实践：
使用参数化查询：使用ADO.NET中的SqlParameter或者Entity Framework等ORM工具来执行参数化查询，将用户输入的数据作为参数传递给查询语句。
避免动态拼接SQL语句：不要使用字符串拼接的方式构建SQL查询语句，因为这样容易受到注入攻击。
对用户输入进行验证和过滤：在接收用户输入之前，进行输入验证和过滤，确保只有符合要求的数据被传递给数据库查询。
使用ORM工具：ORM工具会自动处理参数化查询和对象关系映射，可以减少手动编写SQL查询语句的机会，从而减少注入攻击的风险。
通过以上方法，可以有效地避免在C#应用程序中发生注入攻击。