使用SQL参数绑定是否意味着可以从输入中直接输入文本?

正如标题所说,如果我使用的是SQL参数,即

SQLCommand cmd = new SQLCommand("select * from users where username = @user and password = @pass limit 1", Cxn);

cmd.Parameters.Add("@user", SqlDbType.VarChar):
cmd.Parameters.Add("@pass", SqlDbType.VarChar):

我可以直接从输入中输入参数值吗?

cmd.Parameters["@user"].value = txtBxUserName.text;
cmd.Parameters["@pass"].value = txtBxPassword.text;

当您寻找与转义字符串等相关的内容时,这似乎是建议的,最终的答案是让参数绑定来完成它。但这能防止注射攻击之类的吗?还是仍然需要执行服务器端验证?

来自一个高度定向的PHP背景,直接将文本输入到查询中与我身体的每一根纤维都相悖:p