C# SQL, Multiple Commands

我想写一个应该与数据库通信的方法，但我不确定我的方法是否正确。

public void dbWorkerLogin(int workerNumber) { 
    // Connection string stored in "conn"
    if (!new SqlCommand("Some Command WHERE id=" +workernumber,conn).executeReader().HasRows)
    {
       new SqlCommand("exec STORED_PROCEDURE1 " + workerNumber, conn).ExecuteNonQuery();
       new SqlCommand("exec STORED_PROCEDURE2 " + workerNumber, conn).ExecuteNonQuery();
    }
    else
    {
       new SqlCommand("exec STORED_PROCEDURE3 " + workerNumber,conn).ExecuteNonQuerry();
    }

1)是否可以这样写，并以关键字new启动每个SqlCommand ?或者我应该这样做:

SqlCommand command = new SqlCommand(null, conn);
command = ...;

然后循环变量'command'还是这样?

using(SqlCommand cmd = new SqlCommand("COMMAND", conn);

2)我的过程是否有效，或者我应该使用SqlCommand.Prepare()函数将我的数据转换为正确的数据类型?如。workerNumber为整型，但在数据库中以十进制形式存储。

using (SqlCommand cmd = new SqlCommand("STORED_PROCEDURE", conn))
{
   cmd.CommandType = CommandType.StoredProcedure;
   cmd.Parametres.Add("@id", SqlDbType.Decimal).Value = workNumber;
   cmd.Prepare();
   cmd.ExecuteNonQuery();
}

你能不能总结一下什么该用，什么不该用?不幸的是，由于对DB的访问有限，我无法测试第一个代码，所以我不确定它是否可以无错误地执行。谢谢你在这个问题上的任何帮助!

几个小时后，我到达了这个阶段:

public int getWorkerNumber(string uniqueID)
 {
    using (conn = new SqlConnection(ConfigurationManager.ConnectionStrings["dbConnect"].ConnectionString))
    {
        conn.Open();
        using (SqlCommand cmd = new SqlCommand("SELECT number FROM worker WHERE workerID = @id",conn))
         {
            cmd.Parameters.Add("@id", SqlDbType.Decimal).Value = uniqueID;
            using (SqlDataReader reader = cmd.ExecuteReader())
            {
                int answer;
                while (reader.Read())
                {
                   answer = (int)reader.GetDecimal(0);
                }
                return answer;
            }
        }
    }
}

还有这个

public string dbLoginWorker(int workerNumber)
    {
        SqlCommand cmd;
        SqlDataReader reader;
        using (conn = new SqlConnection(ConfigurationManager.ConnectionStrings["dbConnect"].ConnectionString))
        {
            conn.Open();
            cmd = new SqlCommand("SELECT column FROM table WHERE id= @workernumber", conn);
            cmd.Parameters.Add("@workernumber", SqlDbType.Decimal).Value = workerNumber;
            reader = cmd.ExecuteReader();
            if (!reader.HasRows)
            {
                cmd = new SqlCommand("STORED_PROCEDURE1", conn);
                cmd.CommandType = CommandType.StoredProcedure;
                cmd.Parameters.Add("@ID", SqlDbType.Decimal).Value = workerNumber;
                cmd.Parameters.Add("@VARCHAR", SqlDbType.VarChar).Value = "text";
                cmd.Prepare();
                reader.Close();
                cmd.ExecuteNonQuery();
                cmd.Dispose();
                reader.Dispose();
                return "procedure 1 executed";
           else
            {
                cmd = new SqlCommand("STORED_PROCEDURE2", conn);
                cmd.CommandType = CommandType.StoredProcedure;
                cmd.Parameters.Add("@ID", SqlDbType.Decimal).Value = workerNumber;
                cmd.Parameters.Add("@INT", SqlDbType.SmallInt).Value = 1;
                cmd.Parameters.Add("@VARCHAR", SqlDbType.VarChar).Value = "text";
                cmd.Prepare();
                reader.Close();
                cmd.ExecuteNonQuery();
                cmd.Dispose();
                reader.Dispose();
                return "procedure 2 executed";
            }
        }
    }

两个方法都是函数式的(如果我没有重写错误的话:))。我不确定哪一种方法(第一种或第二种)在稳定性方面更好，如果这种方法更好，更能抵抗SQL注入。有人能评论一下这个话题吗?再次感谢您的帮助!