存储过程如何进行参数化查询

在数据库中，参数化查询是一种防止SQL注入攻击的有效方法。通过使用参数化查询，你可以将用户输入的数据与SQL语句分开处理，从而避免恶意代码的注入。下面是如何在不同数据库中使用参数化查询的示例：

1. SQL Server（使用ADO.NET）：

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();
    string sql = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";
    using (SqlCommand command = new SqlCommand(sql, connection))
    {
        command.Parameters.AddWithValue("@Username", username);
        command.Parameters.AddWithValue("@Password", password);

        using (SqlDataReader reader = command.ExecuteReader())
        {
            // 处理查询结果
        }
    }
}

2. MySQL（使用MySQL Connector/NET）：

using (MySqlConnection connection = new MySqlConnection(connectionString))
{
    connection.Open();
    string sql = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";
    using (MySqlCommand command = new MySqlCommand(sql, connection))
    {
        command.Parameters.AddWithValue("@Username", username);
        command.Parameters.AddWithValue("@Password", password);

        using (MySqlDataReader reader = command.ExecuteReader())
        {
            // 处理查询结果
        }
    }
}

3. PostgreSQL（使用Npgsql）：

using (NpgsqlConnection connection = new NpgsqlConnection(connectionString))
{
    connection.Open();
    string sql = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";
    using (NpgsqlCommand command = new NpgsqlCommand(sql, connection))
    {
        command.Parameters.AddWithValue("@Username", username);
        command.Parameters.AddWithValue("@Password", password);

        using (NpgsqlDataReader reader = command.ExecuteReader())
        {
            // 处理查询结果
        }
    }
}

4. Oracle（使用Oracle.ManagedDataAccess）：

using (OracleConnection connection = new OracleConnection(connectionString))
{
    connection.Open();
    string sql = "SELECT * FROM Users WHERE Username = :Username AND Password = :Password";
    using (OracleCommand command = new OracleCommand(sql, connection))
    {
        command.Parameters.Add(new OracleParameter("Username", username));
        command.Parameters.Add(new OracleParameter("Password", password));

        using (OracleDataReader reader = command.ExecuteReader())
        {
            // 处理查询结果
        }
    }
}

在这些示例中，我们使用了参数化查询来防止SQL注入攻击。注意，参数名称以@（SQL Server和MySQL）或:（PostgreSQL和Oracle）开头。在实际应用中，请确保使用预编译语句和参数化查询，以提高安全性和性能。