Question

ASP.NET 中DAL层的SQL语句问题.

以下俩种SQL语句哪个比较好点?
1.sql = string.Format("select * from Stock where ProductName like '%{0}%' and InDate>='{1}'", name, time);
sql = "select * from Stock where ProductName like '%" + name + "%' and InDate>=@InDate";

Answer 1

第一种比较直观吧，不过不建议上边的写法，容易sql注入，还是建议用参数比较好

Answer 2

两种方式基本一样，相对来说第一种稍好点