aps.net用存储过程查询的疑惑！！

[一直很疑惑]

页面查询的时候出现了个让我疑惑的事情，比如查询条件很多，比如查询的时候 有按照号码查询，有按照名称查询，有按照时间查询，这样存储过程要怎么传参数？

小弟想了两中:
第一种直接把where后面查询条件全部做为参数，在存储过程里定@StrWhere,然后写 ：
‘select * from table1 where ’+ @StrWhere
第二种就是定义好多参数，@num,@name,@datetime,然后在写成 ：
'select * from table1 where num= ' + @num + ' and name = '+ @name + ' and datetime = '+ @datetim


这两种哪种是正确的呢？或者有别的方式？

[大渣吼吾系渣渣辉]

写进@StrWhere的灵活些吧

[昵称不合法]

第一种拼接字符串好些吧。。
不然要是只按号码和名称，不按时间查询，怎么传参数。。

[心灵彩虹]

定义
declare @t table(name char(10))
赋值
insert into @t(name) values( 'n1 ')
显示
select * from @t

[XBodhi.]

那个都可以 ，

如果你想用 动态 SQL 就要用 sys.sp_execute........ 来执行。

如果你 固定 参数 那你就直接

select * from where name =@name 就完事了


但是 变量 一定是 定义过的。

[XBodhi.]

而且 SQL 里的 ' 在字符串中 要 写 成 ''

[一直很疑惑]

[Quote=引用 6 楼 的回复:]
那个都可以 ，

如果你想用 动态 SQL 就要用 sys.sp_execute........ 来执行。

如果你 固定 参数 那你就直接

select * from where name =@name 就完事了


但是 变量 一定是 定义过的。
[/Quote]
再问一个新问题，如果我全部设置成参数，包括字段，表，如：
定义@strTable,@strWhat,@strWhere,@strOrder,然后写一个通用的存储过程：
' select '+ @strWhat + ' from ' + @strTable + ' where ' + @strWhere + 'Order by' + @strOrder
这样写是不是太灵活了，但是从存储过程性能上是不是会下降，因为存储过程都是预编译的，直接来执行，现在都传成参数，就不能进行预编译，会不会变慢啊？这个地方不是很懂..

[misswangjinfeng]

第一种好些

[你们是不是在找BUG]

第二种，不然你的数据没有办法通过sqlparamater来防止sql注入，保持每个数据的类型合法性。
虽然多参数写起来麻烦些，但是也是有目的的

[一直很疑惑]

[Quote=引用 10 楼 的回复:]
第二种，不然你的数据没有办法通过sqlparamater来防止sql注入，保持每个数据的类型合法性。
虽然多参数写起来麻烦些，但是也是有目的的
[/Quote]那是不是在存储过程里写好多判断哦？