使用 SqlCommand 和范围

Question

谁能告诉我是否有充分的理由使用以下两个代码块之一而不是另一个？

using (SqlTransaction mySqlTransaction = mySqlConnection.BeginTransaction)
{
    using (SqlCommand mySqlCmd =
        new SqlCommand("First of many SQL statements here", mySqlConnection, mySqlTransaction)
    {
        mySqlCmd.Parameters.Add("@MyFirstParm", SqlDbType.Int).Value = myFirstVal;
        mySqlCmd.ExecuteNonQuery();
    }

    using (SqlCommand mySqlCmd =
        new SqlCommand("Second of many SQL statements here", mySqlConnection, mySqlTransaction)
    {
        mySqlCmd.Parameters.Add("@MySecondParm", SqlDbType.Int).Value = mySecondVal;
        mySqlCmd.ExecuteNonQuery();
    }

    .
    .
    .

    sqlTransaction.Commit();
}

对比

using (SqlTransaction mySqlTransaction = mySqlConnection.BeginTransaction)
{
    using (SqlCommand mySqlCmd = new SqlCommand("", mySqlConnection, mySqlTransaction)
    {
        mySqlCmd.Parameters.Add("@MyFirstParm", SqlDbType.Int).Value = myFirstVal;
        mySqlCmd.Parameters.Add("@MySecondParm", SqlDbType.Int).Value = mySecondVal;

        mySqlCmd.CommandText = "First of many SQL statements here";
        mySqlCmd.ExecuteNonQuery();

        mySqlCmd.CommandText = "Second of many SQL statements here";
        mySqlCmd.ExecuteNonQuery();

        .
        .
        .
    }

    sqlTransaction.Commit();
}

Answer 1

我会选择 1，因为每个 SqlCommand 都有一组新参数。

我还建议将它们移到单独的方法中，甚至将其作为存储过程。

Answer 2

A 的优点：两个单独的命令比对两个语句使用相同的命令稍微容易混淆，并且您可以更改命令 2 的 SQLcommand 重载而不影响命令 1 B 的优点：使用更少的资源和更少的代码（如果这对您很重要）

两者的优点：您可以将单个方法包装在 try catch 中，以使两者都必须成功才能提交事务，否则回滚。

两者的缺点：在现代方法中硬编码 SQL 是非常危险的，如果这些参数来自任何 UI 对象中的任何文本字段，那么您的数据库可能会因 SQL 注入攻击而变得混乱。让一个 db 方法执行两个单独的语句比只处理存储过程中的语句更令人困惑。此外，使用存储过程并将您的命令类型更改为 commandtype.storedprocedure 将防止 sql 注入攻击通过参数进入（在大多数情况下）。那里有很多关于 SQL 注入的精彩文章，这里有一篇相关的。

http://blogs.msdn.com/b/raulga/archive/2007/01/04/dynamic-sql-sql-injection.aspx

Answer 3

但是对于您的情况，第三个选项可以是一个存储过程，它需要 2 个参数并在内部执行您的所有语句。在这种情况下，您只需要一条 executeNonQuery 指令。