在C#的ASP.NET中，防止SQL注入的最常用方法是使用参数化查询。参数化查询将查询和数据分开，确保用户输入不会被解释为SQL代码的一部分。以下是如何使用参数化查询的一个示例：

首先，创建一个数据库连接：

using System.Data.SqlClient;string connectionString = "your_connection_string";using (SqlConnection connection = new SqlConnection(connectionString)){// 连接到数据库}

接下来，编写一个使用参数化查询的SQL语句：

string query = "SELECT * FROM Users WHERE Username = @username AND Password = @password";

在这里，@username和@password是参数占位符。现在，使用SqlCommand对象执行查询，并将参数值绑定到占位符：

using (SqlCommand command = new SqlCommand(query, connection)){command.Parameters.AddWithValue("@username", username);command.Parameters.AddWithValue("@password", password);try{connection.Open();using (SqlDataReader reader = command.ExecuteReader()){// 处理查询结果}}catch (Exception ex){// 处理异常}finally{connection.Close();}}

在这个例子中，我们使用AddWithValue方法将参数值添加到SqlCommand对象的Parameters集合中。你也可以使用SqlParameter对象显式地定义参数，如下所示：

command.Parameters.Add(new SqlParameter("@username", SqlDbType.NVarChar) { Value = username });command.Parameters.Add(new SqlParameter("@password", SqlDbType.NVarChar) { Value = password });

通过使用参数化查询，您可以有效地防止SQL注入攻击，因为用户输入将被视为数据而不是SQL代码的一部分。