在C#中，檢測和阻止SQL注入的最佳方法是使用參數化查詢或存儲過程

1. 參數化查詢：

參數化查詢是一種將輸入值與SQL命令分開處理的技術，以避免SQL注入。以下是一個使用ADO.NET的參數化查詢示例：

using System.Data.SqlClient;

string connectionString = "your_connection_string";
string userInput = "your_user_input";

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();

    using (SqlCommand command = new SqlCommand())
    {
        command.Connection = connection;
        command.CommandText = "SELECT * FROM Users WHERE Username = @Username";
        
        // 添加參數
        SqlParameter parameter = new SqlParameter("@Username", System.Data.SqlDbType.NVarChar, 50);
        parameter.Value = userInput;
        command.Parameters.Add(parameter);

        using (SqlDataReader reader = command.ExecuteReader())
        {
            while (reader.Read())
            {
                // 處理查詢結果
            }
        }
    }
}

2. 存儲過程：

存儲過程是一種將SQL代碼預先編寫并存儲在數據庫服務器上的方法。通過使用存儲過程，可以將輸入值作為參數傳遞給存儲過程，從而避免SQL注入。以下是一個使用ADO.NET調用存儲過程的示例：

首先，創建一個存儲過程（以下示例為SQL Server）：

CREATE PROCEDURE GetUserByUsername
    @Username NVARCHAR(50)
AS
BEGIN
    SELECT * FROM Users WHERE Username = @Username
END

然后，在C#中調用存儲過程：

using System.Data.SqlClient;

string connectionString = "your_connection_string";
string userInput = "your_user_input";

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();

    using (SqlCommand command = new SqlCommand("GetUserByUsername", connection))
    {
        command.CommandType = System.Data.CommandType.StoredProcedure;

        // 添加參數
        SqlParameter parameter = new SqlParameter("@Username", System.Data.SqlDbType.NVarChar, 50);
        parameter.Value = userInput;
        command.Parameters.Add(parameter);

        using (SqlDataReader reader = command.ExecuteReader())
        {
            while (reader.Read())
            {
                // 處理查詢結果
            }
        }
    }
}

通過使用參數化查詢或存儲過程，可以有效地檢測和阻止SQL注入攻擊。