大家看到当我们试图在URL中嵌入恶意的SQL语句时，参数化存储过程已经帮我们校验出传递给数据库的变量不是整形，而且使用存储过程的好处是我们还可以很方便地控制用户权限，我们可以给用户分配只读或可读写权限。
但我们想想真的有必要每个数据库操作都定义成存储过程吗？而且那么多的存储过程也不利于日常的维护。
参数化SQL语句还是回到之前动态拼接SQL基础上，我们知道一旦有恶意SQL代码传递过来，而且被拼接到SQL语句中就会被数据库执行，那么我们是否可以在拼接之前进行判断呢？——命名SQL参数。
string sql1 = string.Format("SELECT job_id, job_desc, min_lvl, max_lvl FROM jobs WHERE job_id = @jobId"); using (var con = new SqlConnection(ConfigurationManager.ConnectionStrings["SQLCONN1"].ToString())) using (var com = new SqlCommand(sql1, con)) { // Pass jobId to sql statement. com.Parameters.Add("@jobId", SqlDbType.Int).Value = jobId; com.Connection.Open(); gdvData.DataSource = com.ExecuteReader(); gdvData.DataBind(); }图8 参数化SQL查询结果
这样我们就可以避免每个数据库操作（尤其一些简单数据库操作）都编写存储过程了，而且当用户具有数据库中jobs表的读权限才可以执行该SQL语句。
添加新架构数据库架构是一个独立于数据库用户的非重复命名空间，您可以将架构视为对象的容器（类似于.NET中的命名空间）。
首先我们右击架构文件夹，然后新建架构。
图9 添加HumanResource架构
上面我们完成了在pubs数据库中添加HumanResource架构，接着把jobs表放到HumanResource架构中。
图 10 修改jobs表所属的架构
当我们再次执行以下SQL语句时，SQL Server提示jobs无效，这是究竟什么原因呢？之前还运行的好好的。
SELECT job_id, job_desc, min_lvl, max_lvl FROM jobs图 11 查询输出
当我们输入完整的表名“架构名.对象名”（HumanResource.jobs）时，SQL语句执行成功。
SELECT job_id, job_desc, min_lvl, max_lvl FROM HumanResource.jobs为什么之前我们执行SQL语句时不用输入完整表名dbo.jobs也可以执行呢？
这是因为默认的架构（default schema）是dbo，当只输入表名时，Sql Server会自动加上当前登录用户的默认的架构（default schema）——dbo。
由于我们使用自定义架构，这也降低了数据库表名被猜测出来的可能性。
LINQ to SQL