参数化查询
针对sql server .net data Provider，我们可以使用@作为前缀标记的参数。比如：
const string connStr = "Data source=bineon;user=sa;password=test;initial catalog=northwind;";
string sql = "select ProductID,ProductName from Products";
sql += " where CategoryID = @CategoryID and ProductID < @CategoryID ";
SqlConnection conn = new SqlConnection(connStr);
SqlCommand cmd = new SqlCommand(sql,conn);
cmd.Parameters.Add("@CategoryID",CategoryIDValue);
cmd.Parameters.Add("@MaxProductID",MaxProductIDValue);
conn.Open();
SqlDataReader reader = cmd.ExecuteReader();
上面的代码段在定义sql语句的时候使用了两个参数@CategoryID和@CategoryID。为了是参数在执行过程中获得具体值，我们使用Prarmeter对象，通过它把参数添加到Command对象上，这样就获得参数化查询。
当然上面使用的add方法有其他重载版本，比如我们可以自己定义Parameter对象然后再添加：
SqlParameter para = new SqlParameter("@CategoryID",CategoryIDValue);
cmd.Parameters.Add(para);
上面SqlParameter的构造函数也有多个重载版本。具体可以查看msdn。
注意：上面的参数必须使用@前缀，另外也不仅仅是查询才能使用参数，其他更新数据库的操作类似的都能采用参数。
上面我们给出了针对sql server参数化查询的方法，现在我们讨论在OLEDB 和ODBC中指定参数。
其实这两种Provider都不支持指定参数的方法，但是我们可以在查询中使用(?)作为占位符，去指定参数将出现的位置。
sql = "select ProductID,ProductName from Products";
sql += " where CategoryID =? and ProductID < ?";
接下来我们同样应该把Parameter对象添加到Command的Parameters集合里面，但是这个时候注意参数添加的顺序必须和你使用?的顺序相通，这个是与上面sql server .net data Provider不同的地方。
OleDbCommand cmd = new OleDbCommand(sql,conn);
cmd.Parameters.Add(“CatID”,CategoryIDValue);
cmd.Parameters.Add(“MaxProductID”,MaxProductIDValue);
如果上面添加参数的次序弄反了，那么MaxProductIDValue将被指定到第一个?那里，那么就出错了。另外上面的参数名CatID和MaxProductID无所谓，你怎么命名都可以，甚至是空串也行。
注意：上面参数名无所谓，但是添加参数的次序很重要，不能颠倒。同样的其他更新数据库的操作也支持(?)占位符。
附:
Command对象所提供的属性：
ACTIVECONNECTION：ActiveConnection属性可以用来设定该Command对象要依赖哪一个Connection通道来与数据库互相沟通，因此该属性可以直接传入一已与数据库建立链接的Connection对象或是更方便的使用数据库链接字符串取代。
COMMANDTEXT：CommandText属性允许三种类型的数据查询信息，包括一般的SQL语句、数据库表单名称以及子程序名称，而决定是哪一种数据查询信息则是由另一属性CommandType来设定。
COMMANDTYPE：可以用CommandType属性来指定数据查询信息的类型见下表：
adcmdtext 1 指定数据查询信息的类型为SQL语句
adcmdtable 2 指定数据查询信息的类型为数据库表名称
adcmdstoredproc 4 指定数据查询信息的类型为子程序名称
adcmdunknown 8 未知的请求信息类型
