从C＃在Sql查询中传递字符串

Question

我有一个SQL查询如下：

Select CatId 
From tbl_T2H_Category 
Where Category IN ('Category3', 'Category4', 'Category6')

现在我想要的是IN子句中的值应该从复选框列表中动态添加。 我从控件中获取逗号分隔的值，并将其传递给sql查询，如下所示：

string mystring = "Category3,Category4,Category6";
cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN (" + mystring + ")";

这不是在sql端执行的，因为sql仅在字符串位于“'”“'”（单引号）内时才识别它们。 请帮助我编写适当的查询。

Answer 1

您要使用表值参数。 这里显示的MSDN文章比我能更好地演示它：

http://msdn.microsoft.com/en-us/library/bb675163.aspx

Answer 2

正确的语法

string mystring = "'Category3','Category4','Category6'";
cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN (" + mystring + ")";

但请不要使用它。 您可以像下面一样使用它（但也不建议这样做）

cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN ('" + cat_1 + "','" + cat_2 + "','" + cat_3 + "')";

我会在下面使用这个，它很安全

string commandText = "Select CatId From tbl_T2H_Category Where Category IN (@cat_1,@cat_2 @cat_3)";
 SqlCommand command = new SqlCommand(commandText, connection);
 command.Parameters.Add("@cat1", SqlDbType.Varchar);
 command.Parameters["@cat1"].Value = "category1";
 command.Parameters.Add("@cat2", SqlDbType.Varchar);
 command.Parameters["@cat2"].Value = "category2";
 command.Parameters.Add("@cat3", SqlDbType.Varchar);
 command.Parameters["@cat3"].Value = "category3";

这最后一个很安全，它可以防止sql-injection

Answer 3

最好使用Table-Valued Parameters处理 。

第一步是创建类型：

CREATE TYPE dbo.StringList AS TABLE (Value NVARCHAR(MAX) NOT NULL);

下一步是用逗号分隔的列表在c＃中创建一个数据表，以传递给SqlCommand：

string mystring = "Category3,Category4,Category6";
string[] myarray = mystring.Split(",".ToCharArray());

DataTable table = new DataTable();
table.Columns.Add("Value", typeof(string));

for (int i = 0; i < myarray.Length; i++)
{
    var row = table.NewRow();
    row[0] = myarray[i];
    table.Rows.Add(row);
}

最后，您可以将其传递给SqlCommand：

cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN (SELECT Value FROM @Strings)";
cmd.Parameters.Add(new SqlParameter("@Strings", SqlDbType.Structured)).Value = table;

Answer 4

只需将每个类别都用单引号引起来？

就像是

var mystring = "'Category3','Category4','Category6'"

Answer 5

将逗号分隔的值分割成一个数组

 string[] myArr = commaSepString.Split(',');

然后加入逗号，并用逗号包围

 string newString = "'"+myArr.Join("','")+"'";

Answer 6

尝试这个...

public String returnCategories(string categories) 
    {
        string categoriesConc = "";

        string[] split = categories.Split(',');

        for (int i = 0; i < split.Length; i++) 
        {
            if (string.IsNullOrEmpty(categoriesConc))
            {
                categoriesConc = split[i].ToString();
            }
            else 
            {
                categoriesConc = categoriesConc + "," + split[i].ToString();
            }
        }

        return categoriesConc;
    }