SqlCommand参数与String.Format

Question

我一直在互联网上搜索，但似乎找不到任何能解释我的问题的信息（可能是因为我没有使用正确的搜索字符串），所以我在这里发帖希望有人可以帮助我有了这个。（我的程序是使用Visual
Studio 2010编写的C＃代码）

我注意到在C＃中，有多种构造SQL命令的方法。

SqlConnection connection = GetAndOpenConnection(); //function containing connection string and open connection
SqlCommand command = connection.CreateCommand();

到目前为止，我没有任何问题。我遇到的问题是CommandText。我在我的代码（SELECT/ INSERT/ UPDATE/
DELETE）中使用了几个不同的命令，但让我们SELECT举个例子。

//Example 1:
command.CommandText = String.Format("SELECT * FROM myTable WHERE name = '{0}'", "bob");

//Example 2:
command.CommandText = "SELECT * FROM myTable WHERE name = @myName";
command.Parameters.Add(new SqlParameter("myName", "bob"));

上面两个示例之间有什么区别？ （性能方面/结构方面等）

我问的原因是因为在同一个.cs文件中，当我使用示例2中的方法时，有时代码可以正常工作，而有时却无法正常工作，那么我最终会像示例1中那样进行所有操作，每个示例都可以工作时间。

使用任何一种方法都会产生重大损益吗？哪种方法更适合完成这样的任务？

其他问题

好的，所以我认为方法2是执行此操作的更合适的方法。

但是，如果使用方法2，则会出现问题。

我有一个循环，通过一个循环List<string> names。在循环内部，当我使用方法2并将名称添加为参数时，出现一个错误，指出该参数已经存在并且无法添加。

我该如何解决呢？

List<string> names = new List<string> {"adam", "bob", "john"};
foreach(string name in names)
{
    command.CommandText = "SELECT * FROM myTable WHERE name = @myName";
    command.Parameters.Add(new SqlParameter("myName", name));
    reader = command.ExecuteReader();

    while(reader.Read())
    {
        //loop through each cell and print on the Console
    }
}

另外，我知道人们提到在参数中应使用"@myName"而不是"myName"。我记得有这个问题，因为我很困惑使用哪种方法并且只能对其进行测试。"@myName"不适用于我，但"myName"确实如此，这就是我现在仍在使用方法2的部分中的代码中的方式。我使用的是.Net
4.0，不知道这是否会有所作为。

Answer 1

存在用于防止SQL注入的参数。例如，考虑在以下情况下会发生什么string.Format，如果不是bob有TextBox1.Text含有1';DROP TABLE myTable;'。

如果您可以完全控制参数，则无法进行SQL注入，例如在使用字符串文字作为参数的情况下。但是，您永远都不知道代码将来会如何变化，因此，根据经验，您应该始终坚持使用带有参数的更安全的方法。

如果您在使用第二种方法时遇到一些特殊的问题-
搜索并且可能在此处发布，则很可能已经有解决方案。例如，在您的代码段中，实际参数名称@myName带有@符号，这就是应提供给SqlParameter构造函数的名称。

更新。 在您的其他问题中，问题恰恰在于参数命名-应该是@myName：

command.Parameters.Add(new SqlParameter("@myName", name));

另外，您应该在每次迭代中清除参数集合：

command.Parameters.Clear();