Paramètres sql inutilisés - sont-ils dangereux?

Question

Consultez le code suivant:

Dim sql = "SELECT * FROM MyTable WHERE value1 = @Param1" 

If someCondition Then 
    sql = sql + " AND value2 = @Param2" 
End If 

Dim cmd As New SqlCommand(sql, conn) 
cmd.Parameters.AddWithValue("@Param1", param1Value) 
cmd.Parameters.AddWithValue("@Param2", param2Value) 

En supposant que je construit une instruction SQL complexe dynamique qui peut ou peut ne pas avoir inclus le paramètre @Param2 - est-il mal à l'ajouter à la commande en tant que paramètre?

Mon vrai cas d'utilisation est évidemment beaucoup plus compliqué que cela, mais en général, est-ce un modèle que je devrais éviter; et si oui, pourquoi?

Answer 1

Le seul point que je prendrais note est le fait que si vous appelez .AddWithValue, vous laissez à SQL Server de comprendre quel sera le type de données du paramètre. SQL Server fait un travail remarquablement bon de deviner - mais parfois, il l'obtient "sous-optimale" et il serait utile que vous fournissiez les détails.

donc je tends personnellement à toujours utiliser ce bout de code:

SqlParameter aParam = new SqlParameter("@Param1", SqlDbType.VarChar, 50); 
aParam.Value = param1Value; 

Cela présente deux avantages principaux:

• vous de définir le type explicite, ce qui est important par exemple lors de l'utilisation de VARCHAR par rapport à NVARCHAR (sinon vous risquez d'avoir beaucoup de conversions de type inutiles)
• Vous pouvez définir la longueur maximale, par ex. paramètres de chaîne

Vous pouvez facilement envelopper ceci dans un exemple. static helper class, ou même l'utiliser comme une méthode d'extension. C'est un peu plus de travail, mais vous obtenez plus de contrôle et vous éviterez des conversions inutiles et fastidieuses de type de données et d'autres effets secondaires inattendus si vous laissez à SQL Server le soin de deviner vos types.

Answer 2

Il est toujours recommandé d'éviter de transmettre des paramètres qui ne sont pas nécessaires. Si vous transmettez un paramètre qui n'a pas de valeur, il va soit supposer que vous cherchez une chaîne vide, ou il vous donnera une erreur qu'il ne peut pas traiter la demande.