三種數據庫操作模式對比：拼接 SQL、參數化 SQL、存儲過程

以經典「用戶登錄驗證」為例，深度對比三種 ADO.NET 數據庫操作模式的優劣，揭示 SQL 注入風險、性能差異、維護成本，給出架構選型建議。

場景：用戶登錄驗證

輸入：用戶名、密碼 → 查詢 users 表匹配記錄數 → 返回 1 登錄成功，否則失敗。

模式一：字符串拼接 SQL（高危 ❌）

string sql = "SELECT COUNT(*) FROM users WHERE name='" + txtUser.Text + "' AND pwd='" + txtPwd.Text + "'";
cmd.CommandText = sql;
int count = (int)cmd.ExecuteScalar();

致命缺陷：輸入 asd' OR 's'='s 可繞過驗證。嚴禁生產環境使用。

模式二：參數化 SQL（推薦 ✅）

string sql = "SELECT COUNT(*) FROM users WHERE name=@name AND pwd=@pwd";
cmd.CommandText = sql;
cmd.Parameters.AddWithValue("@name", txtUser.Text);
cmd.Parameters.AddWithValue("@pwd", txtPwd.Text);
int count = (int)cmd.ExecuteScalar();

優勢：

• 徹底防注入：參數視為字面值，不參與 SQL 解析。
• 計劃復用：相同結構 SQL 復用執行計劃，減少編譯開銷。
• 類型安全：自動處理日期、二進制、Unicode 等類型轉換。
• 可讀性強：SQL 與數據分離，便於 DBA 檢視優化。

模式三：調用存儲過程（推薦 ✅，進階場景）

cmd.CommandText = "sp_CheckLogin";
cmd.CommandType = CommandType.StoredProcedure;
cmd.Parameters.AddWithValue("@name", txtUser.Text);
cmd.Parameters.AddWithValue("@pwd", txtPwd.Text);
int count = (int)cmd.ExecuteScalar();

額外優勢：

• 邏輯封裝：複雜業務邏輯（多表聯查、事務、臨時表）封裝在資料庫層，應用層精簡。
• 權限最小化：應用賬號僅需 EXECUTE 權限，無需表直接訪問權限。
• 網絡流量減少：批量操作單次往返替代多次交互。
• 版本獨立部署：修改存儲過程無需重新編譯部署應用（需兼容介面）。

劣勢：調試困難、版本控制弱、業務邏輯分散、資料庫遷移成本高。

綜合對比表

最佳實踐建議

1. 默認選參數化 SQL：安全、高效、易維護，覆蓋絕大多數 CRUD 操作。
2. 複雜業務用存儲過程：跨表事務、大批量數據處理、需權限隔離、邏輯極其穩定且頻繁調用的場景。
3. ORM 框架優先：Entity Framework、Dapper 等現代 ORM 內部採用參數化，進一步提升開發效率與安全性。
4. 嚴禁拼接 SQL：代碼審查強制檢查，CI/CD 集成靜態掃描規則攔截。

總結：參數化 SQL 是日常開發的基石，存儲過程是複雜場景的利器，拼接 SQL 是必須根除的安全隱患。選對模式，事半功倍。