字符串拼接和添加sqlparameter有什么区别
所以安全性比较好，而且不用开发人员额外过滤SQL语法关键字等。 在拼接SQL时，如果是＝，比较方便，直接WHERE OperateID =@key，然后再赋值即可。 但是如果是模糊查询，能不能WHERE OperateID LIKE ％@key％呢？ 这样是错误的。 因为这样T－SQL会把后面当成一个字符串。 然后用这种方式赋值：SqlParameter param = new SqlParameter("@key", "%" + obj + "%");
