您的代码很好,可以防止注入,因为值是作为参数而不是字符串文字传递的。但是,如果您自己编写此类数据访问,是否考虑过创建SqlParameter对象并显式设置类型,大小等并将参数添加到命令中?AddWithValue可以正常工作,但是SQL
Server将不得不确定类型,这需要一点点但不必要的开销。

您的代码很好,可以防止注入,因为值是作为参数而不是字符串文字传递的。但是,如果您自己编写此类数据访问,是否考虑过创建SqlParameter对象并显式设置类型,大小等并将参数添加到命令中?AddWithValue可以正常工作,但是SQL
Server将不得不确定类型,这需要一点点但不必要的开销。