Code
1


1:SqlParater .size
获取或设置列中数据的最大大小（以字节为单位）。
默认值是从参数值推导出的。
比如
你传入的值是"Robot.H"
则默认为"Robot.H".Length


2:关于SqlInjection和这个没有必然关系。
Petshop里有个WebUtility.cs
里面有个方法
/// 
        /// Method to make sure that user's inputs are not malicious
        /// 
        /// User's Input
        /// Maximum length of input
        /// The cleaned up version of the input
        public static string InputText(string text, int maxLength) {
            text = text.Trim();
            if (string.IsNullOrEmpty(text))
                return string.Empty;
            if (text.Length > maxLength)
                text = text.Substring(0, maxLength);
            text = Regex.Replace(text, "[\\s]{2,}", " ");    //two or more spaces
            text = Regex.Replace(text, "(<[b|B][r|R]/*>)+|(<[p|P](.|\\n)*?>)", "\n");    //

            text = Regex.Replace(text, "(\\s*&[n|N][b|B][s|S][p|P];\\s*)+", " ");    // 
            text = Regex.Replace(text, "<(.|\\n)*?>", string.Empty);    //any other tags
            text = text.Replace("'", "''");
            return text;
        }


还有关于execute,sp_executesql的动态语句，也应该小心sqlInjection