准备好的语句和存储的过程一起使用

Question

我正处于基于Microsoft ASP.NET/SQL Server 2008的Web应用程序的规划阶段，并且在考虑数据库设计时，我开始考虑注入攻击以及我应该采用什么策略以减轻数据库作为注入攻击的载体。

我已经从各种渠道听说，使用存储过程提高了安全性，我也看过，这些都是同样的感染，如果他们仍然在使用动态SQL作为此提出了一个注射点

问题

是否可以在存储过程中使用参数化查询？我的想法是，如果我将存储过程的参数传递给准备好的语句，数据库引擎将为我清理这些参数。

Answer 1

是的，你可以在存储过程中传递参数化查询。 ，但它认为它不会在程序 中使用执行计划，并且根据我的知识工作缓慢。