sql-server - 在 sp_executesql 中使用 @ParmDefinition 有什么好处

Question

DECLARE @id int
DECLARE @name nvarchar(20)
SET @id = 5
SET @name = 'Paul'

这两个选项有什么区别:

Set @SQLQueryInnen = 'SELECT * FROM someTable WHERE ID = ' + @id + ' AND NAME = ''' + @name + ''''
Execute sp_Executesql @SQLQueryInnen

和

Set @SQLQueryInnen = 'SELECT * FROM someTable WHERE ID = @id AND NAME = @name'
Set @ParmDefinition = '@id int, @name nvarchar(20)'
Execute sp_Executesql @SQLQueryInnen, @ParmDefinition, @id

到目前为止，我只看到在使用@ParmDefinition 时两次声明@id 和@name 的数据类型的开销。另一方面，@ParamDefinition 的“字符串构建”似乎更容易一些。

Answer 1

第一种情况是 SQL 注入(inject)容易和安全风险。讨论到此为止。