SQL注入式攻击的防范 DBhelper中加入参数

public class DBhelper
    {
        public static string connstr = ConfigurationManager.ConnectionStrings["DB"].ConnectionString;

        public static DataTable ExcuteTable(string sql,params SqlParameter[] sqlms)
        {
            using (SqlDataAdapter sda = new SqlDataAdapter(sql, connstr))
            {
                if(sqlms != null && sqlms.Count() > 0)
                {
                    sda.SelectCommand.Parameters.AddRange(sqlms);
                }
                using (DataTable dt = new DataTable())
                {
                    sda.Fill(dt);
                    return dt;
                }
            }  
        }
        public static int ExcuteNonQuery(string sql,params SqlParameter[] sqlms)
        {
            using (SqlConnection conn = new Sq