ASP.NET 2.0 執行資料庫操作命令：Command 物件完整解析與 SqlCommand 實戰

ADO.NET Command 物件三大家族

核心功能相同：執行 SQL 陳述式、預存程序、資料表直接存取；差異在連線字串、參數標記 (@param vs ?)、特有屬性方法。

SqlCommand 核心屬性

SqlCommand 五大執行方法

建立 SqlCommand 三種方式

// 1. 無參數建構子，後續設定屬性
SqlCommand cmd = new SqlCommand();
cmd.CommandText = "SELECT * FROM Products";
cmd.Connection = conn;

// 2. 指定 CommandText
SqlCommand cmd = new SqlCommand("SELECT * FROM Products", conn);

// 3. 指定 CommandText 與 Connection
SqlCommand cmd = new SqlCommand("SELECT * FROM Products", conn);

// 4. 從 Connection 建立 (較少用)
SqlCommand cmd = conn.CreateCommand();
cmd.CommandText = "SELECT * FROM Products";

參數化查詢：防 SQL Injection 的金鑰

string sql = "INSERT INTO Products (ProductName, UnitPrice, Discontinued) VALUES (@Name, @Price, @Disc)";
using (SqlCommand cmd = new SqlCommand(sql, conn))
{
    cmd.Parameters.Add("@Name", SqlDbType.NVarChar, 40).Value = productName;
    cmd.Parameters.Add("@Price", SqlDbType.Money).Value = unitPrice;
    cmd.Parameters.Add("@Disc", SqlDbType.Bit).Value = discontinued;
    // 或使用 AddWithValue (型別推斷，效能稍差)
    // cmd.Parameters.AddWithValue("@Name", productName);
    conn.Open();
    int affected = cmd.ExecuteNonQuery();
}

優點：型別安全、自動處理引號/日期格式、計畫快取重用、防注入。

預存程序呼叫

using (SqlCommand cmd = new SqlCommand("usp_GetProductsByCategory", conn))
{
    cmd.CommandType = CommandType.StoredProcedure;
    cmd.Parameters.Add("@CategoryID", SqlDbType.Int).Value = categoryId;
    // 輸出參數
    SqlParameter retParam = cmd.Parameters.Add("@RowCount", SqlDbType.Int);
    retParam.Direction = ParameterDirection.ReturnValue;

    conn.Open();
    using (SqlDataReader dr = cmd.ExecuteReader())
    {
        while (dr.Read()) { /* 讀取資料 */ }
    }
    int rowCount = (int)retParam.Value;
}

非同步執行 (ASP.NET 2.0+ / .NET 4.5+ Task 化)

// APM 模式 (2.0)
cmd.BeginExecuteReader(ar => {
    SqlDataReader dr = cmd.EndExecuteReader(ar);
    // 處理資料
}, null);

// Task 模式 (4.5+ 推薦)
SqlDataReader dr = await cmd.ExecuteReaderAsync();

完整範例：新增產品並取回 Identity

public int InsertProduct(string name, decimal price, bool discontinued)
{
    const string sql = @"
        INSERT INTO Products (ProductName, UnitPrice, Discontinued)
        VALUES (@Name, @Price, @Disc);
        SELECT CAST(SCOPE_IDENTITY() AS INT);";

    using (SqlConnection conn = new SqlConnection(_connStr))
    using (SqlCommand cmd = new SqlCommand(sql, conn))
    {
        cmd.Parameters.Add("@Name", SqlDbType.NVarChar, 40).Value = name;
        cmd.Parameters.Add("@Price", SqlDbType.Money).Value = price;
        cmd.Parameters.Add("@Disc", SqlDbType.Bit).Value = discontinued;
        conn.Open();
        return (int)cmd.ExecuteScalar(); // 取回 SCOPE_IDENTITY()
    }
}

效能與最佳實務

• 參數化：永遠使用參數，絕不字串拼接 SQL。
• CommandType.StoredProcedure：複雜邏輯封裝於 SP，減少網路往返、利用執行計畫快取。
• using 區塊：確保連線、命令、讀取器正確釋放。
• 避免 SELECT *：明確列出欄位，減少傳輸、利用覆蓋索引。
• 設定 CommandTimeout：長跑報表查詢適當調長 (如 120 秒)。
• 非同步：高併發 Web 應用採用 ExecuteReaderAsync 釋放執行緒。

常見錯誤與解決

結語

SqlCommand 是 ADO.NET 執行資料庫操作的核心物件。掌握五大執行方法、參數化查詢、預存程序呼叫、非同步模式與最佳實務，即能寫出安全、高效、可維護的資料存取程式碼，奠定 BLL/DAL 堅實基礎。