在 ADO.NET 中执行 SQL 查询时，参数化查询是一种关键的安全措施和性能优化手段。它通过将 SQL 命令和用户提供的数据分开处理，有效防止了 SQL 注入攻击，并有助于数据库缓存执行计划。下面总结了几种常用的参数化查询方式。

1. 使用 SqlParameter 对象（推荐）

这是最推荐的参数化查询方式。通过显式创建 SqlParameter 对象，您可以精确控制参数的类型、大小以及值，同时确保 SQL 命令和数据之间的隔离。这不仅能防止 SQL 注入，还能让数据库引擎更有效地处理和缓存 SQL 语句。

using System;
using System.Data;
using System.Data.SqlClient;

public class ParameterizedQueryExample
{
    public static void Main(string[] args)
    {
        string connectionString = "Server=myServerAddress;Database=myDatabase;User Id=myUsername;Password=myPassword;";
        string queryTemplate = "SELECT UserID, Name FROM Customers WHERE Email = @EmailAddress";

        using (SqlConnection connection = new SqlConnection(connectionString))
        {
            using (SqlCommand command = new SqlCommand(queryTemplate, connection))
            {
                // 添加参数，指定类型和值
                SqlParameter emailParam = new SqlParameter("@EmailAddress", SqlDbType.NVarChar, 255);
                emailParam.Value = "john.doe@example.com";
                command.Parameters.Add(emailParam);

                connection.Open();
                using (SqlDataReader reader = command.ExecuteReader())
                {
                    while (reader.Read())
                    {
                        Console.WriteLine($"ID: {reader["UserID"]}, Name: {reader["Name"]}");
                    }
                }
            }
        }
    }
}
    

2. 使用 AddWithValue 方法

AddWithValue 方法提供了一种更简洁的方式来添加参数，它会尝试根据提供的值自动推断参数类型。虽然方便，但在某些情况下可能不如显式指定 SqlParameter 精确，有时会导致不必要的类型转换或影响性能。

示例：

// 假设 cmd 是 SqlCommand 对象
cmd.Parameters.AddWithValue("@UserName", "jane_doe");
cmd.Parameters.AddWithValue("@Age", 30);
    

注意： 尽管 AddWithValue 很便捷，但在生产环境中，尤其是在处理日期、数字或有特定长度要求的字符串时，建议使用显式创建 SqlParameter 对象的方式，以确保类型安全和最佳性能。

3. 存储过程与参数化查询

将参数化查询与 SQL Server 存储过程结合使用，是提高安全性、代码复用性和性能的有效策略。数据库可以缓存存储过程的执行计划，减少重复编译的开销。

SQL Server 端（创建存储过程）：

CREATE PROCEDURE GetCustomerByEmail
    @CustomerEmail NVARCHAR(255)
AS
BEGIN
    SET NOCOUNT ON;
    SELECT CustomerID, Name FROM Customers WHERE Email = @CustomerEmail;
END
GO
    

C# 调用示例：

// 假设 conn 是 SqlConnection 对象
using (SqlCommand cmd = new SqlCommand("GetCustomerByEmail", conn))
{
    cmd.CommandType = CommandType.StoredProcedure;
    cmd.Parameters.Add(new SqlParameter("@CustomerEmail", SqlDbType.NVarChar, 255) { Value = "alice@example.com" });

    conn.Open();
    // ... 执行命令并处理结果
}
    

4. 表值参数 (Table-Valued Parameters, TVP)

当需要向 SQL 查询传递一组值时（例如，在一个 IN 子句中），使用表值参数可以显著提高性能，避免了在 C# 代码中循环构建 SQL 或使用临时表。

SQL Server 端（创建 TVP 类型）：

CREATE TYPE dbo.ListOfIds AS TABLE
(
    ID INT PRIMARY KEY
);
GO
    

C# 代码示例（传递一组 ID）：

DataTable idTable = new DataTable();
idTable.Columns.Add("ID", typeof(int));
idTable.Rows.Add(101);
idTable.Rows.Add(102);
idTable.Rows.Add(105);

// 假设 conn 是 SqlConnection 对象
using (SqlCommand cmd = new SqlCommand("SELECT * FROM Products WHERE ProductID IN (SELECT ID FROM @InputIDs)", conn))
{
    SqlParameter tvpParam = new SqlParameter("@InputIDs", SqlDbType.Structured)
    {
        TypeName = "dbo.ListOfIds", // 对应 SQL Server 中创建的 TVP 类型
        Value = idTable
    };
    cmd.Parameters.Add(tvpParam);

    conn.Open();
    // ... 执行命令并处理结果
}