带有子查询错误的 ADO 参数化查询

Question

我有一个遗留的经典 ASP 应用程序运行在 SQL Server 2012（也用 2016 测试），我试图切换到使用参数化查询。 该网站的所有查询都通过 function 运行，它需要一个 sql 语句作为一个字符串，其参数由问号以及这些参数的数组表示。 function目前对参数进行过滤，使sql安全，并在执行语句前放入sql字符串中。

鉴于此，我认为将其切换为参数化查询会非常简单。 初始测试看起来不错，并且一切似乎都正常工作，直到我在子查询中遇到带有参数的 sql 语句。

这是有效的测试示例：

Const connectionString = "Provider=SQLNCLI11; DataTypeCompatibility=80; Server=********; Database=********; UID=*******; PWD=*******"

Dim sql, productId, parameters
sql = "SELECT SKU FROM Products WHERE ProductId = ?"
productId = 3
parameters = Array(productId)

Dim conn
Set conn = Server.CreateObject("ADODB.Connection")
conn.Open connectionString

Dim cmd
Set cmd = Server.CreateObject("ADODB.Command")
cmd.ActiveConnection = conn
cmd.CommandText = sql
cmd.Parameters.Refresh

Dim rs
Set rs = cmd.Execute(, parameters)

Response.Write("SKU: " & rs("SKU"))

没问题，这会按预期返回 SKU。 但是，如果我使用子查询：

Const connectionString = "Provider=SQLNCLI11; DataTypeCompatibility=80; Server=********; Database=********; UID=*******; PWD=*******"

Dim sql, productId, parameters
sql = "SELECT SKU FROM ( SELECT SKU FROM Products WHERE ProductId = ? ) AS P"
productId = 3
parameters = Array(productId)

Dim conn
Set conn = Server.CreateObject("ADODB.Connection")
conn.Open connectionString

Dim cmd
Set cmd = Server.CreateObject("ADODB.Command")
cmd.ActiveConnection = conn
cmd.CommandText = sql
cmd.Parameters.Refresh

Dim rs
Set rs = cmd.Execute(, parameters)

Response.Write("SKU: " & rs("SKU"))

它在 cmd.Parameters.Refresh 行抛出错误：

Microsoft VBScript 运行时错误 '0x80004005' Microsoft SQL Server Native Client 11.0 语法错误、权限冲突或其他非特定错误

如果我在第一个样本中检查 cmd.Parameters.Count，我会正确地得到 1。在错误的样本中它会抛出同样的错误。

关于为什么将参数放入子查询会导致参数集合出现问题，是否有任何解释？ 我确实尝试手动将参数添加到参数集合中，效果很好，但这意味着修改数百个现有的 sql 调用，所以目前 cmd.Parameters.Refresh 往返是值得的。

Answer 1

对于可能偶然发现此问题的任何人，多亏了一位同事，我终于弄清楚了这个问题。 事实证明代码没有问题，但连接字符串有问题。 我以某种方式将其排除在示例代码之外，但我的连接字符串包含“DataTypeCompatability=80”。 如果存在，代码将抛出错误。 但是，如果我将其删除，错误将不再发生，并且我会像怀疑的那样得到结果。

从这篇关于将 ADO 与本机客户端一起使用的知识库文章中，我的理解是应该包含 DataTypeCompatability 以确保较新的数据类型正常工作，但到目前为止我还没有发现删除它的任何问题。

Answer 2

你可以给 cmd.execute 你想要的东西，但我已经很久没有使用它了。

cmd.execute("SELECT SKU FROM (SELECT SKU FROM Products WHERE ProductId = ? ) AS P", Array(productId))