如何在ASP.NET中使用“ WHERE [列名] IN [值]”格式運行帶有字符串值列表的SQL查詢？

Question

我有一個SQL查詢，我正在ASP.NET頁中運行。 最終解析的SQL需要包含WHERE [columnname] IN [values]格式的字符串值列表。 例如，最終查詢可能看起來像這樣：

SELECT PRODUCTNAME FROM PRODUCT WHERE PRODUCTCODE IN ('ABC','DEF','GHI','JKL', /* etc */);

但是，WHERE子句中的字符串值必須是動態的。 通常，我使用參數化查詢來使我的代碼更加方便和安全，因此從概念上講，我想執行以下操作：

String[] productCodes = { "ABC", "DEF", "GHI", "JKL" };
SqlCommand cmd = "SELECT PRODUCTNAME FROM PRODUCT WHERE PRODUCTCODE IN (@ProductCodes)";
cmd.Parameters.Add("@ProductCodes", productCodes);

但是，.NET中似乎不存在這種功能。 我應該如何實施呢？ 我可以在數組上使用foreach循環，並使用單個值作為每個值的參數運行查詢，但是數組中可能存在一百多個左右的不同值，看來分別查詢它們效率很低。

我讀過另一個問題，有人建議為強類型的int參數提供解決方案 ，但是當與String值一起使用時，該方法會讓我對SQL注入感到不安，尤其是因為客戶端很可能能夠影響輸入值。

您將如何實現此查詢功能？

使用數據庫詳細信息進行編輯 ：

該數據庫是SQL Server2005。很抱歉忘記提及這一點。

Answer 1

創建基本sql語句為格式，並動態添加參數，然后在循環中設置值。

String[] productCodes = { "ABC", "DEF", "GHI", "JKL" };
string sqlFormat = "SELECT PRODUCTNAME FROM PRODUCT WHERE PRODUCTCODE IN ({0})";
var @params = productCodes.Select((id, index) => String.Format("@id{0}", index)).ToArray();
var sql = String.Format(sqlFormat, string.Join(",", @params));

using(var cmd = new DbCommand(sql))
{
    for (int i = 0; i < productCodes.Length; i++)
        cmd.Parameters.Add(new Parameter(@params[i], DbType.String, productCodes[i]));
    // execute query
}

Answer 2

只是一個想法：

String[] productCodes = { "ABC", "DEF", "GHI", "JKL" };
SqlCommand cmd = "SELECT PRODUCTNAME FROM PRODUCT WHERE PRODUCTCODE IN ("; 

for (int i=0;i<productCodes.Length;i++) {
  cmd.CommandText += "@" + productCodes[i] + ",";
  cmd.Parameters.Add("@" + productCodes[i], productCodes[i]);
}
cmd.CommandText = cmd.CommandText.SubString(0, cmd.CommandText.Length-1);
cmd.CommandText += ");"

可能不是最好的方法，但是我想這就是我會嘗試的方法。

Answer 3

您正在尋找表值參數。 但是，直到asp.net被廣泛采用之后，這些功能才可用於sql server，因此對asp.net的支持受到限制。

相反，我建議您將其視為構建購物車。 用戶將項目添加到購物車，並且在某些時候您想要顯示購物車中的所有項目。 在這種情況下，自然的解決方案是購物車本身位於數據庫表中。 與其將卡中包含的項作為“ IN（？）”指令的一部分拉下來，您不如將其構建為指令的子查詢：“ WHERE X IN (SELECT X FROM ShoppingCart WHERE UserID= @UserID AND SessionKey= @SessionKey) “。 即使您添加了數百個項目，用戶也是如此之快，並且每個插入的負載相當均勻地分布。

當然，您可能正在構建購物車以外的東西，但是盡管如此，您的查詢幾乎總是屬於以下三類之一：

1. 列表中的項目由用戶手動選擇，在這種情況下，您仍然可以使每個選擇結果都在新的數據庫記錄中，該記錄又可以在子查詢中使用
2. 它是數據庫中已經可用的數據，在這種情況下，您仍然應該可以使用子查詢（如果不能，則可能是時候在某個地方添加“類別”列，以便可以使用了）。
3. 這些數據已硬編碼到您的應用中，在這種情況下，您也可以將其編碼到查詢中

罕見的例外是查詢是由另一台機器源觸發的，或者您可能還擁有很多不願意重新編寫代碼以使之成為可能的代碼。
因此，如果由於某種原因，這種方法不能為您解決問題，可以在以下位置找到有關sql server的標准文章（包括一些替代方法）：
http://www.sommarskog.se/arrays-in-sql.html

本文確實是該主題的標准文章，非常值得您花時間。

Answer 4

作為記錄，“不單獨”查詢數組中的一百個左右的值也可能效率不高（盡管不如往返SQL Server的一百個左右那樣低效率）。 但是，參數化查詢會有所幫助，因為您可以准備相同的查詢並執行多次。 存儲過程可能會更好。

您有機會可以使用Linq，還是您是.NET-3.5之前的版本？

如果您不能使用Linq，並且絕對必須使用此路線，請嘗試以下操作：

SqlCommand cmd = "SELECT PRODUCTNAME FROM PRODUCT WHERE PRODUCTCODE = @ProductCode";
cmd.Prepare();
List<string> results;
foreach (string code in productCodes)
{
    cmd.Parameters.Clear();
    cmd.Parameters.Add("@ProductCodes", DbType.VarChar).Value = code;
    cmd.ExecuteQuery();
    // Add code here to add the returned values to the results list.  It's been
    // a while since I've used ADO.NET, and I don't have time to look it up
    // at the moment...
}

然后，您有結果列表。