在哪里验证输入参数以防止 C# Web API 控制器或服务或存储库中的 SQL 注入？

问：

我知道参数化查询足以防止 SQL 注入。验证输入参数是否也是好的做法？验证输入参数的好方法是什么，以及在哪里（控制器、服务、存储库）验证它们？

这是我的控制器方法：

public async Task<ActionResult<List<Level>>> GetLevelsAsync([FromRoute] string Code, string Year)
{
    int appId = IsoCode.FromName(Code).Id;
    var result = await _sampleService.GetLevelsAsync(appId, Year);
    return result;
}

这是我的服务方法：

public async Task<List<Level>> GetLevelsAsync(int appId, string year)
{
    if (string.IsNullOrWhiteSpace(year) == true)
        throw new ArgumentNullException(nameof(year));

    var result = await _sampleRepository.GetLevelsByYear(appId, year);
    return result;
}

这是我的存储库方法：

public async Task<List<Level>> GetLevelsByYear(int appId, string year)
{
    if (string.IsNullOrWhiteSpace(year))
        throw new ArgumentNullException(nameof(year));

    var result = new List<Level>();
    var parameters = new { AppId = appId, Year = year };
    string sql = @"
                SELECT * 
                FROM [Levels] as l, [LevelYears] as v 
                WHERE 
                    v.LevelId = l.Id AND l.Active = 1 AND l.AppId = @AppId AND v.Year = @Year
                ORDER BY v.Sort asc
        ";

    using (IDbConnection db = new SqlConnection(_settings.SqlServerConnString))
    {
        try
        {
            result = db.Query<Level>(sql, parameters).ToList();
        }
        catch (Exception e)
        {
            _logger.LogError(e, "Error querying levels by year", new { appId, year });
            throw;
        }
    }
    return result;
}