为什么我们总是喜欢在SQL语句中使用参数？

Question

为什么我们总是喜欢在SQL语句中使用参数？

我很擅长使用数据库。现在我可以写SELECT，UPDATE，DELETE，和INSERT命令。但我看过很多我们喜欢写的论坛：

SELECT empSalary from employee where salary = @salary

...代替：

SELECT empSalary from employee where salary = txtSalary.Text

为什么我们总是喜欢使用参数以及如何使用它们？

我想知道第一种方法的用途和好处。我甚至听说过SQL注入，但我并不完全理解它。我甚至不知道SQL注入是否与我的问题有关。

Answer 1

除了其他答案之外，需要添加该参数不仅有助于防止sql注入，还可以提高查询性能。Sql server缓存参数化查询计划并在重复查询执行时重用它们。如果您没有参数化您的查询，那么如果查询文本不同，sql server将在每个查询（有一些排除）执行时编译新计划。有关查询计划缓存的更多信息

Answer 2

在Sql中，当任何单词包含@符号时，表示它是变量，我们使用此变量在其中设置值并在同一个sql脚本的数字区域上使用它，因为它只限于单个脚本，而您可以声明许多变量许多脚本上的相同类型和名称。我们在存储过程批次中使用此变量，因为存储过程是预编译的查询，我们可以从脚本，桌面和网站传递这些变量中的值以获取更多信息读取声明局部变量，Sql存储过程和sql注入。另请阅读保护sql注入它将指导如何保护您的数据库。希望它也能帮助你理解任何问题评论我。