.NET - параметр запроса MySql от не пользовательского ввода

Question

Я понимаю, что использование параметров с вашими запросами предотвращает внедрение sql (при получении значений с пользовательского ввода). Но если бы я хотел построить запрос, который использует предопределенные значения, например.

MySqlCommand Command = Connection.CreateCommand(); 
Command.CommandText = "SELECT employee_address FROM employees WHERE employee_name = @employee_name"; 
Command.Parameters.AddWithValue("employee_name", "John"); 

Могу я не использовать это вместо этого?

MySqlCommand Command = Connection.CreateCommand(); 
Command.CommandText = "SELECT employee_address FROM employees WHERE employee_name = 'John'"; 

Нужно ли использовать параметры в этом сценарии?

UPDATE

я могу также сделать это таким образом?

string employee_name = "John"; //value depends on some sort of selection (not user input) 

MySqlCommand Command = Connection.CreateCommand(); 
Command.CommandText = "SELECT employee_address FROM employees WHERE employee_name = '" + employee_name + "'"; 

Answer 1

Я рекомендую всегда использовать параметры. С строкой это просто, но угадайте, что у вас есть логическое, десятичное или дата. Это помогает не думать о форматировании.

С параметрами ваш SQL-оператор может быть короче, если вы используете @ 0, @ 1, @ 2. Вы даже можете написать функцию с параметрическим массивом, который заменяется в соответствии с порядком @ 0, @ 1, @ 2. Это экономит много кода. (например, ExecuteSql (sql as string, paramarray myParameters as object)