在ASP.NET中使用查询字符串参数形成动态SQL语句

Question

我正在尝试根据查询字符串参数动态创建MS SQL查询。

我当前正在使用要求任何有效查询字符串参数值的变量：如果参数不为空，则该变量构成SQL语句的一部分。 如果为空，则变量保持空白。

例如：

 var search = Request["search"].IsEmpty() ? "" : Request["search"];
 var price = Request["price"].IsEmpty() ? "" : Request["price"];

 string searchSQL = "WHERE item_name LIKE '%" + search + "%'";
 string priceSQL = " AND item_price < " + price;

 string sql = "SELECT * from Items " + searchSQL + priceSQL;

如果两个查询参数均有效，则此sql查询运行正常。 但是，如果搜索参数为空且价格不是，则sql查询将变为无效：

SELECT * from Items AND item_price < 100

我的计划是使用多达6个不同的查询字符串参数，因此无法真正使用此代码段。 这种方法的最佳实践是什么？ 是否可以通过这种方式创建有效的动态sql语句？

Answer 1

您可以使用null参数：

select *
from items
where (@name is null or item_name like '%' + @name + '%')
  and (@price is null or item_price < @price)";

然后，您将添加参数，并为未给定的参数指定null值，这将使WHERE语句的这一部分不进行任何过滤，并且您不必每次都构建不同的SQL。

Answer 2

就个人而言， Lasse V. Karlsen的方法是我倾向于使用的方法，尽管我有一个应用程序，在该应用程序中，我使用动态SQL根据用户想要执行的操作来生成更有效的查询（即，当我可以摆脱它）。 如果您确实对动态SQL有所了解，则可以使用三元运算符进行更好的查询：

string search = Request("search").IsEmpty() ? "" : Request("search");
decimal price = Request("price").IsEmpty() ? "" : Request("price");
string param3 = Request("param3").IsEmpty() ? "" : Request("param3");
string param4 = Request("param4").IsEmpty() ? "" : Request("param4");
string param5 = Request("param5").IsEmpty() ? "" : Request("param5");
string param6 = Request("param6").IsEmpty() ? "" : Request("param6");

string whereClause = "";

whereClause += whereClause.length > 0 & search.length > 0 ? " AND item_name LIKE '%' + @search + '%'" : "WHERE item_name LIKE '%' + @search + '%'";
whereClause += whereClause.length > 0 & search.length > 0 ? " AND item_price < @price" : "WHERE item_price < @price";
whereClause += whereClause.length > 0 & search.length > 0 ? " AND param3 = @param3" : "WHERE param3 = @param3";
whereClause += whereClause.length > 0 & search.length > 0 ? " AND param4 = @param4" : "WHERE param4 = @param4";
whereClause += whereClause.length > 0 & search.length > 0 ? " AND param5 = @param5" : "WHERE param5 = @param5";
whereClause += whereClause.length > 0 & search.length > 0 ? " AND param6 = @param6" : "WHERE param6 = @param6";

string sql = "SELECT * from Items " + whereClause;

SqlConnection conn = new SqlConnection("your connection string");
SqlCommand cmd = new SqlCommand(sql, conn);

// fill in all parameters (even ones that may not exist)
cmd.Parameters.Add("search", SqlDbType.VarChar, 50).Value = search;
cmd.Parameters.Add("price", SqlDbType.Float).Value = price;
cmd.Parameters.Add("param3", SqlDbType.VarChar, 50).Value = param3;
cmd.Parameters.Add("param4", SqlDbType.VarChar, 50).Value = param4;
cmd.Parameters.Add("param5", SqlDbType.VarChar, 50).Value = param5;
cmd.Parameters.Add("param6", SqlDbType.VarChar, 50).Value = param6;

Answer 3

如果要将应用程序转换为使用Entity Framework或Linq2Sql （或类似的ORM框架）。 您将能够在代码中构建查询，然后将其发送到数据库。

以下是使用实体框架的代码示例。 在这个例子中，下面的例子中，我们使用DbSet<Item>从DbContext 。 它继承了IQueryable<Item> ，它也是许多扩展方法（如Where的返回类型。 现在，我们可以将一系列where语句链接在一起，以创建所需的查询。

using (MyDbContext db = new MyDbContext())
{
    IQueryable<Item> items = db.Items;

    if (!string.IsNullOrEmpty(itemName))
        items = items.Where(s => s.Name.Contains(itemName));

    if (maxPrice > 0)
        items = items.Where(s => s.Price < maxPrice);

    // Get results
    List<Item> results = items.ToList();
}

但是请注意，由此生成的SQL会比SELECT * from Items AND item_price < 100更复杂，因为这取决于SQL生成器。