使用参数化查询来避免SQL注入攻击。

以下是一个使用参数化查询的示例，其中包含一个名为“gridView1”的Devexpress Grid：

//创建查询字符串和参数
string query = "SELECT * FROM MyTable WHERE MyColumn LIKE @searchTerm";
SqlParameter param = new SqlParameter("@searchTerm", "%" + textEdit1.Text + "%");

//执行查询
SqlConnection connection = new SqlConnection("connection string");
SqlCommand command = new SqlCommand(query, connection);
command.Parameters.Add(param);

try
{
    connection.Open();
    SqlDataReader reader = command.ExecuteReader();
    gridView1.DataSource = reader;
    gridView1.DataBind();
}
finally
{
    connection.Close();
}

在上面的示例中，我们使用SqlParameter类来创建查询字符串中的参数。在这种情况下，我们只有一个参数，即@searchTerm，它将文本编辑框中的搜索词作为模糊查询字符串中的值。

通过将参数添加到SqlCommand对象的Parameters集合中，我们可以在执行查询时将它们绑定到查询字符串中的对应占位符。这将确保任何用户输入都不会被直接嵌入到查询字符串中，从而避免了SQL注入攻击的风险。

总的来说，使用参数化查询是一种可靠的方法，可以让我们在Devexpress Grid中使用模糊查询功能而不必担心SQL注入攻击。