在[重复]中的C＃SQL参数查询

Question

可能重复：
参数化SQL IN子句？

我有以下代码：

var myCommand = new SqlCommand();
myCommand.Parameters.Add("@username", SqlDbType.NVarChar);
myCommand.Parameters["@username"].Value = username;
return _dbConnection.ExecuteQuery("Select * from customer where username = @username");

现在我需要调整查询以获得更多值。 我想做这样的事情：

var myCommand = new SqlCommand();
foreach (string username in usernames){
  myCommand.Parameters.Add("@username", SqlDbType.NVarChar);
  myCommand.Parameters["@username"].Value = username;
}
return _dbConnection.ExecuteQuery("Select * from customer where username in @username");

那可能吗？ 怎么样？

谢谢！

BR Stefan

Answer 1

这个链接真的是关于这个主题的最后一个词：

http://www.sommarskog.se/arrays-in-sql.html

这有点长，但是好的方式（它很彻底，非常值得你的时间）。

Answer 2

我喜欢用两种方法做这样的事情。

public void ReadDatabase(string[] values)
{
    foreach (var value in values)
    {
        using (var rd = GetData(value))
        {
            if (!rd.Read())
                throw new OMGException("FAILED!");

            Console.WriteLine(rd["UserId"].ToString());
        }
    }
}

public IDataReader GetData(string value)
{
    using(var cm = _connectionWhatever.CreateCommand())
    {
        cm.CommandText = @"
            Select UserId
            From MyTable
            Where UserName = @User
        ";
        cm.CommandType = CommandType.Text;
        cm.Parameters.AddWithValue("User", value);
        return cm.ExecuteReader();
    }
}

这只是为了给你一些想法。 希望这会有所帮助。

Answer 3

将代码更改为此

    var myCommand = new SqlCommand();
    int i = 0;
    string param = string.Empty;

    foreach (string username in usernames)
    {
        string paramName = string.Format("@username{0}", i);
        myCommand.Parameters.Add(paramName, SqlDbType.NVarChar);
        myCommand.Parameters[paramName].Value = username;
        param += string.Format("  (username={0}) or", paramName);

        i++;
    }
    param = param.Substring(0, param.Length - 2);
    return _dbConnection.ExecuteQuery("Select * from customer where " + param);

Answer 4

这可以通过将XML数据类型传递给Query并在其中进行搜索来完成。

declare @x xml
set @x = '<IDs><ID>1</ID><ID>2</ID></IDs>'

SELECT ID.value('.', 'int') AS ID
FROM @x.nodes('/IDs/ID') as IDS(ID)

所以在这种情况下你可以这样做：

var myCommand = new SqlCommand();
myCommand.Parameters.Add("@usernames", SqlDbType.Xml);
string usernames = "<Usernames>"
foreach (string username in usernames){
   usernames+= String.Format("<username>{0}</username>", username);
}
usernames += "</Usernames>"
myCommand.Parameters["@usernames"].Value = usernames;
return _dbConnection.ExecuteQuery("Select * from customer where username in (SELECT
    username.value('.', 'nvarchar') AS Username
    FROM @x.nodes('/Usernames/Username') as Usernames(Username))");

但是，语法可能需要检查

Answer 5

每个参数都必须是唯一的：

var paramNames = new List<string>();
var myCommand = new SqlCommand();
foreach (string username in usernames){
  var paramName = "@user" + paramNames.Count;
  myCommand.Parameters.Add(paramName, SqlDbType.NVarChar);
  myCommand.Parameters[paramName].Value = username;
  paramNames.Add(paramName);
}
return _dbConnection.ExecuteQuery("Select * from customer where username in (" + string.Join(",", paramNames) + ")");

你会得到这样的SQL：

SELECT * from customer where username in (@user0, @user1, @user2)

从查询计划缓存的角度来看，它没有多大帮助，但是您将获得不易受SQL注入攻击攻击的好处。

Answer 6

你不能完全按照你对循环的思考方式这样做，因为你会用不同的值多次添加相同的参数，但这可能会有所帮助：

http://support.microsoft.com/kb/555266 （在VB中你可以找到ac＃example或translate）

我自己解决这个问题的方法是将它变成一个存储过程作为其良好的实践（诸如增加的安全性，效率，代码重用等优点），然后让你的过程接受XML的参数。 在您的C＃应用​​程序中，将Usernames集合转换为XML，然后将其传递给SP。

Answer 7

好吧，如果你真的想要，你可以通过字符串操作完全做到这一点。

string sql = "Select * from customer where username in (";

string comma = "";
foreach(string s in usernames)
{
   sql += comma + "'" + CleanSqlParameter(s) + "'";
   comma = ", ";
}

return _dbConnection.ExecuteQuery(sql);

这会很乱！ 但是如果你觉得你需要完全用C＃构建查询，这是一种方法。 我用这种方法取得了成功。