sql参数化查询 可以走事务吗

sql参数化查询 可以走事务吗

string sql = "SELECt TOP 1 * FROM [User] WHERe UserName = ‘” + userName + “‘ AND Password = ‘” + password + “‘”;
其中userName和password两个变量的值是由用户输入的。在userName和password都合法的情况下，这自然没有问题，但是 用户输入是不可信的，一些恶意用户只要用一些技巧，就可以绕过用户名、密码登录。

你好！ 具体点，数据变化涉及到事务 仅代表个人观点，不喜勿喷，谢谢。