即使在 .NET 中使用 SQLParameter 也存在 SQL 注入示例？

Question

我听说当对 SQL Server 使用 ADO.NET SQLParameter（参数化查询）时，仍然可以进行 SQL 注入。

我正在寻找 C#/VB 代码中的真实示例作为证据。

编辑：我正在寻找具体的工作示例。没有介绍 sql 注入或如何防止它。

Answer 1

如果您在存储过程中创建语句并使用 sp_executesql，则参数化查询是一个虚假的安全网。