在sp_executesql中使用@ParmDefinition有什么好处

DECLARE @id int
DECLARE @name nvarchar(20)
SET @id = 5
SET @name = 'Paul'

这两个选项有什么区别：

Set @SQLQueryInnen = 'SELECT * FROM someTable WHERE ID = ' + @id + ' AND NAME = ''' + @name + ''''
Execute sp_Executesql @SQLQueryInnen

and

Set @SQLQueryInnen = 'SELECT * FROM someTable WHERE ID = @id AND NAME = @name'
Set @ParmDefinition = '@id int, @name nvarchar(20)'
Execute sp_Executesql @SQLQueryInnen, @ParmDefinition, @id

到目前为止，我只看到使用 @ParmDefinition 时两次声明 @id 和 @name 数据类型的过度行为。另一方面，使用@ParamDefinition“字符串构建”似乎更容易一些。

第一种情况容易发生 SQL 注入并且存在安全风险。讨论到此为止。