asp.NetSqlParameter条件により選択した追加パラメータ

SqlParameterのパラメータ付き添削改ざん文は、注入を防止することができる.時にはsql文を書くときにメソッドから伝わるパラメータに基づいてsql文中のwhere条件のパラメータを判断することがある.
一般的な方法
DAL層メソッド

public UserInfo GetAll(UserInfo a)
{
            string strSql = "select id,name,code,password from [tb].[dbo].[User] where 1=1";
            strSql += " and [id]=@id";
            strSql += " and [name]=@name";
            strSql += " and [code]=@code";
            strSql += " and [password]=@password";
            SqlParameter[] parameters = { 
					     new SqlParameter("@id", a.id)
                                             new SqlParameter("@name", a.name)
                                             new SqlParameter("@code", a.code), 
                                             new SqlParameter("@password", a.password)
                                 };
            SqlDataReader reader = SqlHelper.ExecuteReader(strSql, parameters);
            UserInfo hc = new UserInfo();
            while(reader.Read())
            {
                hc.id = reader.GetInt32(reader.GetOrdinal("id"));
                hc.name = reader.GetString(reader.GetOrdinal("name"));                
                hc.code = reader.GetString(reader.GetOrdinal("code"));
                hc.password = reader.GetString(reader.GetOrdinal("password"));
            }
            reader.Close();
            return hc;
}

集合UserInfo内属性に従ってSqlParameterパラメータを追加したい
方法は次のとおりです.
DAL層メソッド

public UserInfo GetALL(UserInfo a)
{
            string strSql = "select id,name,code,password from [tb].[dbo].[User] where 1=1";
            if (a.id>0) strSql += " and [id]=@id";
            if (!string.IsNullOrEmpty(a.name)) strSql += " and [name]=@name";
            if (!string.IsNullOrEmpty(a.code)) strSql += " and [code]=@code";
            if (!string.IsNullOrEmpty(a.password)) strSql += " and [password]=@password";
            List<SqlParameter> parametertemp = new List<SqlParameter>();
            if (a.id > 0) parametertemp.Add(new SqlParameter("@id", a.id));
            if (!string.IsNullOrEmpty(a.name)) parametertemp.Add(new SqlParameter("@name", a.name));
            if (!string.IsNullOrEmpty(a.code)) parametertemp.Add(new SqlParameter("@code", a.code));
            if (!string.IsNullOrEmpty(a.password)) parametertemp.Add(new SqlParameter("@password", a.password));
            SqlParameter[] parameters = parametertemp.ToArray();//ToArray()    List<T>           。
            
            SqlDataReader reader = SqlHelper.ExecuteReader(strSql, parameters);
            UserInfo hc = new UserInfo();
            while (reader.Read())
            {
                hc.id = reader.GetInt32(reader.GetOrdinal("id"));
                hc.name = reader.GetString(reader.GetOrdinal("name"));                
                hc.code = reader.GetString(reader.GetOrdinal("code"));
                hc.password = reader.GetString(reader.GetOrdinal("password"));
            }
            reader.Close();
            return hc;
 }

DBUtility層SqlHelper

public SqlDataReader ExecuteReader(string query, params SqlParameter[] parameters)
        {        
		SqlConnString = GetConnect2();
		SqlConnString.Open();
		SqlCommand SqlCmd = new SqlCommand(); 
		SqlCmd.Connection = SqlConnString; 
		SqlCmd.CommandText = query; 
		//SqlCmd.Parameters.AddRange(parameters);//AddRange()       
		//params             
		foreach (SqlParameter item in parameters) 
		{ 
			SqlCmd.Parameters.Add(item); 
		} 
		SqlDataReader dr; 
		try 
		{ 
			dr = SqlCmd.ExecuteReader(CommandBehavior.CloseConnection);
 			return dr; 
		} 
		catch (Exception ee) 
		{ 
			SqlConnString.Close();
 			throw ee; 
		} 
	}