这两端代码有啥区别？

Question

本帖最后由 h123hu 于 2010-05-25 16:00:29 编辑

Answer 1

下面的那个是参数化查询，可有效提高拼接型sql命令的安全性，防止sql注入语句

Answer 2

第二个 是用C# 传入SQL 参数的方式做的,
可以防止注入(不是绝对)
有些情况不比考虑类型
如:
select * from table where name='"+txtName.Text+"';可以
select * from table where name=@name;
不需要麻烦的单引号.