关于SqlParameter的问题.

Question

请先看下面代码:
===========================================================================
        public DataTable SendBoxForSendTime(string SendTime ,string ReceiverName)
        {
            string sql = "select * from [Table_Sms] where [SendTime]=@SendTime and [ReceiverName]=@ReceiverName";①            SqlParameter[] paras = {
                new SqlParameter("@SendTime", SqlDbType.DateTime, 8)
            };
②            SqlParameter[] parasName = {
                new SqlParameter("@ReceiverName", SqlDbType.NVarChar)
            };
            paras[0].Value = DateTime.Parse(SendTime);
            paras[1].Value = DateTime.Parse(ReceiverName);
            return base.SqlRuner.ExecuteDataTable(sql, paras);
        }
===========================================================================
我的疑问是,其中的"SendTime"和"ReceiverName"直接由参数获得不就可以了么?
为什么还要用①②的代码?为什么不可以直接写成:===========================================================================
        public DataTable SendBoxForSendTime(string SendTime ,string ReceiverName)
        {
            string sql = "select * from [Table_Sms] where [SendTime]=@SendTime and [ReceiverName]=@ReceiverName";
            return base.SqlRuner.ExecuteDataTable(sql);
        }
===========================================================================

Answer 1

顶
朋友 看看这个问题。http://community.csdn.net/Expert/topic/5686/5686047.xml?temp=.8212702

Answer 2

朋友，你还是没搞懂情况
-------------------------------------------
这样是可以的，可以直接从参数里拿到
你要清楚的是怎么把参数传给你的SQL语句public DataTable SendBoxForSendTime(string SendTime ,string ReceiverName)
        {
 
            string sql = string.Format("select * from [Table_Sms] where [SendTime]={0} and [ReceiverName]={1}",SendTime ,ReceiverName);
            return base.SqlRuner.ExecuteDataTable(sql);
        }

Answer 3

上面的代码有一点问题，要把参数转换成时间类型
-------------------------------、
SqlParameter[] paras = {
                new SqlParameter("@SendTime", SqlDbType.DateTime, 8)
            };
②            SqlParameter[] parasName = {
                new SqlParameter("@ReceiverName", SqlDbType.NVarChar)
            };
            paras[0].Value = DateTime.Parse(SendTime);
            paras[1].Value = DateTime.Parse(ReceiverName);
            return base.SqlRuner.ExecuteDataTable(sql, paras);
这种写法能更好的控制参数的类型

Answer 4

这就是C＃强类型的SQL命令吗！这样的命令参数定义好之后类型就是定了，如果给的参数类型不对，立马就会报错。
而直接用参数来拼串的话就不能保证参数和语句的正确性！而且容易被注入。
规范的带参数的SQL命令，应该用SqlCommand来执行！高手有空帮忙看下这个困难问题帖子！！谢谢！
http://community.csdn.net/Expert/topic/5684/5684900.xml?temp=.9734461

Answer 5

这是SqlParameter的格式，你如果嫌麻烦，可以不用变量的格式，直接按值拼成一个SQL语句，然后传入执行就可以了。或者你自己写个DLL，根据参数生成相应的SQL语句，更方便，我自己就是这样做的。呵呵，每张表定给个结构，然后把实体类往里面一传，自动生成insert,update,delete语句。如果实体类的值是null，则此字段不更新