SqlCommand用于执行SQL命令和存储过程，配合SqlConnection实现数据库增删改查；通过参数化查询防止SQL注入，确保安全。
SqlCommand 是 ADO.NET 中用于执行 SQL 语句或存储过程的核心对象，主要作用是向 SQL Server 数据库发送命令并返回结果。它能执行增删改查操作，配合 SqlConnection 使用，实现与数据库的交互。
SqlCommand 的主要作用
执行 SQL 命令：可以运行如 SELECT、INSERT、UPDATE、DELETE 等 T-SQL 语句。调用存储过程：支持执行数据库中的存储过程，并传递参数。获取返回值：能接收查询结果、影响行数或输出参数。提高安全性：通过参数化查询防止 SQL 注入攻击。基本使用步骤
使用 SqlCommand 需要先建立数据库连接，然后创建命令对象，设置命令文本和参数，最后执行命令。
1. 创建并打开连接
使用 SqlConnection 指定连接字符串并打开连接。
SqlConnection conn = new SqlConnection("Server=.;Database=TestDB;Integrated Security=true;");
conn.Open();
2. 创建 SqlCommand 对象
将 SQL 语句和连接对象传入 SqlCommand 构造函数。
SqlCommand cmd = new SqlCommand("SELECT * FROM Users", conn);
3. 执行不同类型的命令
根据操作类型选择合适的执行方法：
- ExecuteReader()：用于 SELECT 查询，返回 SqlDataReader
- ExecuteNonQuery()：用于 INSERT、UPDATE、DELETE，返回受影响行数
- ExecuteScalar()：返回单个值（如 COUNT(*)）
// 查询数据
SqlDataReader reader = cmd.ExecuteReader();
while (reader.Read())
{
Console.WriteLine(reader["Name"]);
}
reader.Close();
4. 使用参数化查询（推荐）
避免拼接 SQL 字符串，提升安全性和性能。
cmd.CommandText = "INSERT INTO Users (Name, Age) VALUES (@name, @age)";
cmd.Parameters.AddWithValue("@name", "张三");
cmd.Parameters.AddWithValue("@age", 25);
cmd.ExecuteNonQuery();
实际应用场景示例
假设需要根据用户 ID 查询姓名：
string sql = "SELECT Name FROM Users WHERE Id = @id";
SqlCommand cmd = new SqlCommand(sql, conn);
cmd.Parameters.Add(new SqlParameter("@id", SqlDbType.Int) { Value = 1 });
object result = cmd.ExecuteScalar();
if (result != null)
Console.WriteLine("用户名：" + result.ToString());
基本上就这些。SqlCommand 是操作 SQL Server 最直接的工具，掌握它的用法对数据访问开发非常关键。注意始终使用参数化查询，并在使用后正确释放资源（可配合 using 语句）。
