这两种 SQL 命令参数声明方法有什么区别？ [复制]

Question

我是 SQL 新手，我正在使用 Windows 窗体和 C#。

以下 2 个 SQL 查询工作正常，没有问题，但我担心其中一个可能会在以后引起问题，我不知道哪个更安全。

我只是想知道第一种和第二种方法中两个命令参数减速和赋值有什么区别：

第一个命令参数减速方法：

SqlConnection MyConnection = new SqlConnection(ConfigurationManager.ConnectionStrings["MyConnectionString"].ConnectionString);

SqlCommand MyCommand = new SqlCommand();
DataTable DataTable = new DataTable();

SqlDataAdapter Sql_Data_Adapter = new SqlDataAdapter();

long PhoneNumber = 07429114523;

MyConnection.Open();
MyCommand.CommandText = "SELECT * FROM List_of_All_Orders WHERE Phone= @PhoneNumber ";
MyCommand.Connection = MyConnection;

// command parameters declaration and value assigning
MyCommand.Parameters.Add("@PhoneNumber", SqlDbType.BigInt).Value = PhoneNumber;

Sql_Data_Adapter.SelectCommand = MyCommand;
Sql_Data_Adapter.Fill(DataTable);

dataGridView1.DataSource = DataTable;            
MyCommand.Parameters.Clear();
MyConnection.Close();

第二个命令参数声明方法：

long PhoneNumber = 07429114523;
MyConnection.Open();
MyCommand.CommandText = "SELECT * FROM List_of_All_Orders WHERE Phone= @PhoneNumber ";
MyCommand.Connection = MyConnection;

// command parameters declaration and value assigning
MyCommand.Parameters.Add("@PhoneNumber", SqlDbType.BigInt);
MyCommand.Parameters["@PhoneNumber"].Value = PhoneNumber;

Sql_Data_Adapter.SelectCommand = MyCommand;
Sql_Data_Adapter.Fill(DataTable);

dataGridView1.DataSource = DataTable;

MyCommand.Parameters.Clear();
MyConnection.Close();

任何人都知道在命令参数声明和赋值方面选择第一种或第二种方法，哪种方法更安全。

请帮忙。谢谢

Answer 1

  MyCommand.Parameters.Add("@PhoneNumber", SqlDbType.BigInt).Value = PhoneNumber;

单行版本更好，因为

• 一切都在一行中完成，
• 没有在第二行拼错参数名称的风险，

但仍有很多问题需要解决。
我会做一个小函数来为你做这一切，并防止常见的错误：

   // Returns a new BigInt parameter
   public SqlParameter ParamBigInt(string paramName, long v)
   {
       // Fixup parameter name
       string name = paramName.Trim();

       if (!name.StartsWith("@"))
           name = "@" + name;

       // Make the new parameter
       return new SqlParameter(name, SqlDbType.BigInt)
       {
           Value = p;
       };
   }

然后使用它：

  MyCommand.Parameters.Add(ParamBigInt("@PhoneNumber", PhoneNumber));

Answer 2

以上两种方法都没有问题。事实上，有一种更短的语法，您无需担心数据类型。

MyCommand.Parameters.Add("@PhoneNumber", PhoneNumber);

假设您有 20 个要添加的参数，您会更喜欢能加快项目完成时间的参数