ObjectDataSource绑定参数仍可能SQL注入，因其仅传递参数而不处理SQL；若SelectMethod内部拼接字符串（如string.Format）而非使用SqlParameter，则参数绑定无效。
ObjectDataSource绑定参数时为什么还会SQL注入
因为ObjectDataSource本身不处理SQL，它只负责把参数传给你的数据访问方法——如果那个方法里拼接了SQL字符串，比如用string.Format或+把TextBox.Text直接塞进SELECT * FROM Users WHERE Name = '{0}'，那参数绑定再“安全”也没用。
常见错误现象：ObjectDataSource.SelectMethod指向一个返回DataTable的函数，但函数内部调用SqlCommand.CommandText拼接用户输入；或者用了SqlDataSource却误以为ObjectDataSource自带防注入能力。
- 确认你的
SelectMethod实现是否真的使用了参数化查询（即SqlParameter） - 检查是否在方法里调用了
string.Concat、string.Format、$"..."等拼接SQL - 留意是否有“动态表名/列名”需求——这类无法参数化，必须白名单校验或重构
如何在SelectMethod中正确使用SqlParameter
关键不是“绑定参数”，而是“在执行SQL时用参数占位符”。ObjectDataSource传进来的username参数，必须作为SqlParameter添加到SqlCommand，而不是拼进SQL文本。
示例（正确）：
public static DataTable GetUsersByName(string username)
{
var dt = new DataTable();
using (var conn = new SqlConnection(ConfigurationManager.ConnectionStrings["DB"].ConnectionString))
using (var cmd = new SqlCommand("SELECT * FROM Users WHERE Name = @name", conn))
{
cmd.Parameters.Add(new SqlParameter("@name", username ?? ""));
conn.Open();
using (var da = new SqlDataAdapter(cmd))
da.Fill(dt);
}
return dt;
}-
@name必须和cmd.Parameters.Add中的名称严格一致（大小写敏感） - 不要用
cmd.Parameters.AddWithValue——它可能推断错类型，导致索引失效或隐式转换问题 - 若参数可为空，显式传
DBNull.Value比空字符串更准确（如username == null ? (object)DBNull.Value : username）
绑定控件值到ObjectDataSource时的典型陷阱
很多人以为只要在ObjectDataSource里设了ConvertEmptyStringToNull="true"就万事大吉，其实这只是影响参数值是否为null，跟SQL安全完全无关。
容易踩的坑：
-
ControlParameter绑定TextBox时，没做前后空格Trim——攻击者可输入' OR 1=1 --带空格绕过前端JS校验 - 在
Page_Load里手动给ObjectDataSource.SelectParameters["username"].DefaultValue赋值，结果覆盖了控件绑定，且未过滤 - 用
QueryStringParameter传id，但后端没验证是否为数字型，直接当字符串拼进SQL（哪怕用了SqlParameter，类型不匹配也可能触发隐式转换漏洞）
调试时快速确认是否真正在用参数化查询
最直接的办法：在SQL Server Profiler里抓取实际执行的语句。如果看到的是exec sp_executesql N'SELECT ... @name',N'@name nvarchar(50)',@name=N'admin'，说明安全；如果看到SELECT ... WHERE Name = 'admin'这种明文值，就是拼接了。
- 开发阶段可在连接字符串加
Pooling=false，配合SqlConnection.StateChange事件打日志 - 避免依赖ORM自动生成的SQL——比如某些旧版
DataSet+TableAdapter配置，生成代码里可能藏着.InsertCommand.CommandText += " AND Status = '" + status + "'" - 如果项目用了Dapper或Entity Framework，确认没混用
SqlMapper.Query(conn, sql, param)但sql变量是拼出来的
真正难的不是写对一行SqlParameter，而是确保整个调用链上没有任何地方把用户输入当成SQL片段来对待——尤其那些被遗忘的旧工具类、日志构造逻辑、导出报表的动态WHERE生成器。
