在ASP.Net中防止SQL注入

UPDATE OPENQUERY (db,'SELECT * FROM table WHERE ref = ''"+ Ref +"'' AND bookno = ''"+ Session("number") +"'' ')

我该如何防止SQL注入？

UPDATE

这是我正在尝试的

SqlCommand cmd = new SqlCommand("Select * from Table where ref=@ref",con); 
cmd.Parameters.AddWithValue("@ref",34);

由于某些原因,我尝试添加它似乎没有工作,我不断得到下面提到的SQL命令.

这是错误

'SqlCommand' is a type and cannot be used as an expression

我接管别人的工作,所以这对我来说都是新手,我想做正确的事情,所以如果任何人可以提供任何更多的帮助,如何使我的查询从SQL注入安全,那么请做.

更新2

我在代码中添加了VasilP这样说的

Dim dbQuery As [String] = "SELECT * FROM table WHERE ref = '" & Tools.SQLSafeString(Ref) & "' AND bookno = '" & Tools.SQLSafeString(Session("number")) & "'"

但是我收到一个错误工具没有声明我需要指定一个名字空间才能工作吗？

UPDATE

有没有人有任何想法,最好的让我的查询从SQL注入安全,没有我遇到的错误？

UPDATE

我现在有它所以它的工作没有参数位这里是我更新的源代码任何想法为什么它不会添加参数值？

Dim conn As SqlConnection = New SqlConnection("server='server1'; user id='w'; password='w'; database='w'; pooling='false'")
   conn.Open()


Dim query As New SqlCommand("Select * from openquery (db,'Select * from table where investor = @investor ') ",conn)
query.Parameters.AddWithValue("@investor",69836)

dgBookings.DataSource = query.ExecuteReader
dgBookings.DataBind()

它像这样工作

Dim conn As SqlConnection = New SqlConnection("server='server1'; user id='w'; password='w'; database='w'; pooling='false'")
   conn.Open()


Dim query As New SqlCommand("Select * from openquery (db,'Select * from table where investor = 69836') ",conn)

dgBookings.DataSource = query.ExecuteReader
dgBookings.DataBind()

我得到的错误是这个

An error occurred while preparing a query for execution against OLE DB provider 'MSDASQL'.

这是因为它不是用69836替换@investor

有任何想法吗？

解

这是我如何解决我的问题

Dim conn As SqlConnection = New SqlConnection("server='h'; user id='w'; password='w'; database='w'; pooling='false'")

conn.Open()

Dim query As New SqlCommand("DECLARE @investor varchar(10),@sql varchar(1000) Select @investor = 69836 select @sql = 'SELECT * FROM OPENQUERY(db,''SELECT * FROM table WHERE investor = ''''' + @investor + ''''''')' EXEC(@sql)",conn)

dgBookings.DataSource = query.ExecuteReader
dgBookings.DataBind()

现在我可以编写查询,而不用担心SQL注入