这两种写法有什么分别呢？

Question

第一：
SqlCommand myCommand=new SqlCommand("select username from user where username=@username ",myConnection); myCommand.Parameters.Add(new SqlParameter("@username", SqlDbType.NVarChar,50));
myCommand.Parameters["@username"].Value = username.Text;第二：
SqlCommand myCommand=new SqlCommand("select username from user where username='"+username.Text+"'",myConnection);效率上哪个好？

Answer 1

第一个用了参数，比较安全，可以防SQL注入
第二个代码较少，比较高效

Answer 2

第一个用了参数，比较安全，可以防SQL注入
第二个代码较少，比较高效