asp.net防sql注入

 using (con)
        {
            con.Open();
            String sqltext = "select * from emp where empno=@empno";
            SqlCommand cmd = new SqlCommand(sqltext, con);
            cmd.Parameters.AddWithValue("@empno", this.TextBox.Text);
           
            GridView1.DataSource = cmd.ExecuteReader();
            GridView1.DataBind();
        }
即使用参数化，而不是直接拼接sql语句，简单有效，能基本应对网站的一般安全要求。但是每个sql语句又要参数化，对于参数比较多的语句写起来比较麻烦。