在ASP.NET开发中，SQL注入是一种常见且极具威胁性的安全漏洞。攻击者通过在应用程序的输入字段中注入恶意的SQL代码，从而绕过应用程序的安全验证机制，对数据库进行非法操作，如窃取敏感数据、篡改数据甚至删除数据库等。因此，防止SQL注入是ASP.NET开发中至关重要的一环。以下将详细总结ASP.NET开发中防止SQL注入的技术要点。

使用参数化查询

参数化查询是防止SQL注入最有效的方法之一。在ASP.NET中，无论是使用ADO.NET还是Entity Framework等数据访问技术，都可以方便地使用参数化查询。

在使用ADO.NET时，示例代码如下：

using System;
using System.Data.SqlClient;

class Program
{
    static void Main()
    {
        string connectionString = "Data Source=YOUR_SERVER;Initial Catalog=YOUR_DATABASE;User ID=YOUR_USER;Password=YOUR_PASSWORD";
        string username = "testUser";
        string password = "testPassword";

        using (SqlConnection connection = new SqlConnection(connectionString))
        {
            string query = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";
            SqlCommand command = new SqlCommand(query, connection);
            command.Parameters.AddWithValue("@Username", username);
            command.Parameters.AddWithValue("@Password", password);

            try
            {
                connection.Open();
                SqlDataReader reader = command.ExecuteReader();
                while (reader.Read())
                {
                    // 处理查询结果
                }
                reader.Close();
            }
            catch (Exception ex)
            {
                Console.WriteLine("Error: " + ex.Message);
            }
        }
    }
}

在上述代码中，使用了参数化查询，通过 SqlCommand 的 Parameters 集合来添加参数。这样，即使攻击者输入恶意的SQL代码，也会被当作普通的字符串处理，而不会被解析为SQL语句的一部分。

如果使用Entity Framework，示例代码如下：

using System.Data.Entity;
using System.Linq;

public class UserContext : DbContext
{
    public DbSet<User> Users { get; set; }
}

public class User
{
    public int Id { get; set; }
    public string Username { get; set; }
    public string Password { get; set; }
}

class Program
{
    static void Main()
    {
        string username = "testUser";
        string password = "testPassword";

        using (UserContext context = new UserContext())
        {
            var user = context.Users.Where(u => u.Username == username && u.Password == password).FirstOrDefault();
            if (user != null)
            {
                // 用户存在
            }
        }
    }
}

Entity Framework会自动处理参数化查询，开发者只需要使用LINQ语句进行查询，框架会将其转换为安全的SQL查询。

输入验证和过滤

除了使用参数化查询，对用户输入进行验证和过滤也是防止SQL注入的重要手段。在ASP.NET中，可以通过多种方式实现输入验证。

使用ASP.NET MVC的模型验证，示例代码如下：

using System.ComponentModel.DataAnnotations;

public class LoginModel
{
    [Required]
    [RegularExpression(@"^[a-zA-Z0-9]+$", ErrorMessage = "用户名只能包含字母和数字")]
    public string Username { get; set; }

    [Required]
    [StringLength(20, MinimumLength = 6, ErrorMessage = "密码长度必须在6到20个字符之间")]
    public string Password { get; set; }
}

public class AccountController : Controller
{
    public ActionResult Login(LoginModel model)
    {
        if (ModelState.IsValid)
        {
            // 处理登录逻辑
        }
        return View(model);
    }
}

在上述代码中，使用了 DataAnnotations 对模型属性进行验证。[Required] 表示该属性不能为空，[RegularExpression] 可以使用正则表达式对输入进行过滤，确保输入符合特定的格式要求。

还可以手动编写验证逻辑，示例代码如下：

public bool IsValidInput(string input)
{
    // 简单的过滤，去除可能的SQL注入关键字
    string[] sqlKeywords = { "SELECT", "INSERT", "UPDATE", "DELETE", "DROP" };
    foreach (string keyword in sqlKeywords)
    {
        if (input.ToUpper().Contains(keyword))
        {
            return false;
        }
    }
    return true;
}

通过手动编写验证逻辑，可以根据具体的业务需求对输入进行更细致的过滤。

存储过程

使用存储过程也是一种有效的防止SQL注入的方法。存储过程是预编译的SQL代码，存储在数据库中，可以通过参数传递来执行。

创建一个简单的存储过程示例：

CREATE PROCEDURE GetUser
    @Username NVARCHAR(50),
    @Password NVARCHAR(50)
AS
BEGIN
    SELECT * FROM Users WHERE Username = @Username AND Password = @Password;
END;

在ASP.NET中调用存储过程的示例代码如下：

using System;
using System.Data.SqlClient;

class Program
{
    static void Main()
    {
        string connectionString = "Data Source=YOUR_SERVER;Initial Catalog=YOUR_DATABASE;User ID=YOUR_USER;Password=YOUR_PASSWORD";
        string username = "testUser";
        string password = "testPassword";

        using (SqlConnection connection = new SqlConnection(connectionString))
        {
            SqlCommand command = new SqlCommand("GetUser", connection);
            command.CommandType = System.Data.CommandType.StoredProcedure;
            command.Parameters.AddWithValue("@Username", username);
            command.Parameters.AddWithValue("@Password", password);

            try
            {
                connection.Open();
                SqlDataReader reader = command.ExecuteReader();
                while (reader.Read())
                {
                    // 处理查询结果
                }
                reader.Close();
            }
            catch (Exception ex)
            {
                Console.WriteLine("Error: " + ex.Message);
            }
        }
    }
}

存储过程可以将SQL逻辑封装在数据库端，并且使用参数化的方式传递数据，减少了SQL注入的风险。

最小化数据库权限

为了降低SQL注入的危害，应该为应用程序的数据库账户分配最小的权限。例如，如果应用程序只需要查询数据，那么就只授予查询权限，而不授予添加、更新或删除数据的权限。

在SQL Server中，可以通过以下步骤创建一个具有最小权限的用户：

创建一个新的登录名：

CREATE LOGIN AppUser WITH PASSWORD = 'YourPassword';

在数据库中创建一个用户，并将其映射到登录名：

USE YourDatabase;
CREATE USER AppUser FOR LOGIN AppUser;

授予用户最小的权限，例如只授予查询权限：

GRANT SELECT ON YourTable TO AppUser;

通过最小化数据库权限，即使攻击者成功注入SQL代码，也只能执行有限的操作，从而减少了数据泄露和破坏的风险。

定期更新和维护

定期更新ASP.NET框架和数据库管理系统是防止SQL注入的重要措施。框架和数据库系统的开发者会不断修复安全漏洞，及时更新可以确保应用程序使用的是最新的安全补丁。

同时，要定期对应用程序进行安全审计和漏洞扫描，及时发现和修复潜在的SQL注入漏洞。可以使用专业的安全工具，如OWASP ZAP等，对应用程序进行全面的安全检测。

综上所述，在ASP.NET开发中防止SQL注入需要综合使用多种技术手段。通过使用参数化查询、输入验证和过滤、存储过程、最小化数据库权限以及定期更新和维护等方法，可以有效地保护应用程序免受SQL注入攻击，确保数据的安全性和完整性。