即使在.NET中使用SQL注入的例子的SqlParameter？

问题描述：

我听说，对于SQL Server使用ADO.NET的SqlParameter（paramterised查询）时，SQL注入仍然是可能的。

I heard that SQL Injection can still be possible when using ADO.NET SQLParameter (paramterised query) for SQL Server.

我要寻找一个在C＃/ VB code作为证明真实的例子。

I am looking for real examples in C#/VB code as proof.

编辑：我在寻找特定的工作的例子。不介绍SQL注入或如何prevent吧。

I am looking for SPECIFIC working examples. Not introductions to sql injection or how to prevent it.

答

如果您正在创建一个语句一个存储过程和使用sp_executesql，参数化查询是假的安全网。

If you're creating a statement in a stored proc and using sp_executesql, a parameterized query is a false safety net.