c#中sql语句中传参写法

目前博主用到的比较多的主要是两种方法。
第一种比较简单，就是拼接成sql，然后调用方法执行

string sSQL= string.Format("SELECT * FROM {0} WHERE {1}","CESHI","1=2");
using (OracleConnection conn = new OracleConnection(Connstr))
      {
          conn.Open();
          using (OracleCommand com = new OracleCommand(sql, conn))
             {
               com.ExecuteNonQuery();
             }
     }

第二种相对麻烦一些，但是安全性更高，因此比较推荐第二种写法

using (OracleConnection conn = new OracleConnection(Connstr))
	{
		conn.Open();
		string sql = string.Format(@"select * from CESHI where guid = :guid");
		OracleCommand cmd = new OracleCommand()
		{
			CommandType = CommandType.Text,
			CommandText = sql,
			Connection = conn
		};
		
		cmd.Parameters.Add(new OracleParameter(":guid", OracleDbType.NVarchar2)); 参数类型
		cmd.Parameters[":guid"].Value = guid;
		com.ExecuteNonQuery();
	}