在ASP.NET C#中防止SQL注入的最佳做法是使用参数化查询。这意味着你应该使用参数而不是直接将用户输入拼接到SQL语句中。这不仅可以防止SQL注入攻击，还可以帮助防止其他类型的安全问题，如SQL错误注入和跨站点脚本攻击（XSS）。
以下是使用参数化查询的示例代码：
using System.Data;using System.Data.SqlClient; string connectionString = "你的数据库连接字符串";string userInput = "用户输入的数据"; using (SqlConnection connection = new SqlConnection(connectionString)){ connection.Open(); // 创建SQL命令 using (SqlCommand command = new SqlCommand("SELECT * FROM Users WHERE Username = @Username", connection)) { // 添加参数 command.Parameters.AddWithValue("@Username", userInput); // 执行命令 using (SqlDataReader reader = command.ExecuteReader()) { while (reader.Read()) { // 处理查询结果 } } }}
在这个例子中，@Username 是一个参数，它被添加到SQL命令对象中，并被设置为用户输入的值。这样可以确保用户输入被安全地处理，不会被解释为SQL的一部分。
对于不同的数据库，你可能需要使用不同的参数化方法。例如，对于MySQL，你会使用?作为占位符，并通过MySqlCommand对象的Parameters.Add方法添加参数。
总结：使用参数化查询是防止SQL注入的最佳实践，它可以确保用户输入被安全地处理，不会被解释为SQL命令的一部分。