将参数添加到SQL Server 2005中的存储过程之间的区别

Question

我想知道这两个符号之间的区别。

首先我有一个存储过程

CREATE PROCEDURE AddSomething(@zonename varchar(50), @desc varchar(255), @TheNewId int OUTPUT) AS 
BEGIN 
    INSERT INTO a_zone(zonename, descr) VALUES(@zonename, @desc) 
    SELECT @TheNewId = SCOPE_IDENTITY()   
END 

的区别是什么，如果我以这种方式添加参数

SqlCommand Cmd = new SqlCommand("AddSomething", oConn); 
Cmd.CommandType = CommandType.StoredProcedure; 
SqlParameter oParam1 = Cmd.Parameters.AddWithValue("@zonename", sName); 
SqlParameter oParam2 = Cmd.Parameters.AddWithValue("@desc", description); 

和

SqlCommand Cmd2 = new SqlCommand("AddSomething", oConn); 
Cmd2.CommandType = CommandType.StoredProcedure; 
cmd2.Parameters.Add("@zonename", SqlDbType.VarChar).Value = zonename.Text.Trim(); 
cmd2.Parameters.Add("@desc", SqlDbType.VarChar).Value = desc.Text.Trim(); 

请帮我

感谢预期

Answer 1

这里有一些解释：

difference between command Add and AddWithValue

Dim cmd as new SqlCommand("SELECT * FROM MyTable WHERE MyDate>@TheDate",conn) 
cmd.Parameters.Add("@TheDate",SqlDbType.DateTime).Value="2/1/2007" 

VS

cmd.Parameters.AddWithValue("@TheDate","2/1/2007") 

“从字符串到日期添加力量转换，因为它进入的参数。 AddWithValue只会将字符串传递给SQL Server。

当使用Parameters.Add - 在S qlDbTypeis在编译时

知道当使用Parameters.AddWithValue方法有框和拆箱的价值，找出它的类型。

前者的额外好处是，Add是更多的代码安全 ，并协助对SQL注入攻击，如果你试图通过不符合SQLDB类型的值 定义的代码在安全方面 - 错误将被捕获在.Net代码中，您将不会有 等待往返回。

• http://msdn.microsoft.com/en-us/library/system.data.sqlclient.sqlcommand.parameters.aspx
• http://msdn.microsoft.com/en-us/library/yy6y35y8.aspx

编辑：

例如以获得一个输出参数：

C＃

cmd.Parameters.Add(new SqlParameter("@TheNewId", SqlDbType.Int, int.MaxValue)); 
cmd.Parameters("@TheNewId").Direction = ParameterDirection.Output; 
cmd.ExecuteNonQuery(); 
int theNewID = (int)cmd.Parameters("@TheNewId").Value; 

VB.Net

cmd.Parameters.Add(New SqlParameter("@TheNewId", SqlDbType.Int, Int32.MaxValue)) 
cmd.Parameters("@TheNewId").Direction = ParameterDirection.Output 
cmd.ExecuteNonQuery() 
Dim theNewID As Int32 = DirectCast(cmd.Parameters("@TheNewId").Value, Int32) 

Answer 2

当您使用AddWithValue，数据类型将制定出（如最佳）的基础上的类型传递给方法的变量 - 假定SNAME和描述字符串变量，参数将作为NVARCHAR传入。

我个人更喜欢第二种方法，明确了数据类型（加上我实际指定了尺寸），以保证它们与存储区定义匹配并避免任何意外行为。