10

显然，以下代码没有按预期打印任何内容。我确信这与我试图将项目列表放入@namelist. 显然，它不仅仅是文本替换。

我怎么解决这个问题？谢谢 

using (var connection = new SqlConnection(_connectionString))
{
    connection.Open();

    using (var cmd = connection.CreateCommand())
    {
        cmd.CommandText = @"select column_name, table_name from information_schema.columns where table_name in (@namelist)";
        cmd.Parameters.AddWithValue("@namelist",  "'tableOne', 'tableTwo'");

        var reader = cmd.ExecuteReader();

        while (reader.Read())
        {
            var a = reader[0];
            Console.WriteLine(a);
        }
    }
}
4

3 回答 3

9

不幸的是，SQL 参数不是这样解析的，换句话说，后端不只是构建一个安全字符串，用它的值替换每个参数。相反，您必须动态构建参数列表：

cmd.CommandText = @"select column_name, table_name from information_schema.columns where table_name in (@p1, @p2, @p3)"; // This can be built dynamically

然后添加每个参数：

cmd.Parameters.AddWithValue("@p1", "tableOne");
cmd.Parameters.AddWithValue("@p2", "tableTwo");
cmd.Parameters.AddWithValue("@p3", "tableThree");

如果在运行时之前数量未知，您当然可以在循环中添加这些参数：

for(var i = 0; i < myParams.length; i++)
{
   cmd.Parameters.AddWithValue("@p" + i.ToString(), myParams[i]);
}

如果您的表列表存储在 中enum，或者您可以转义它们或使用正则表达式验证它们，那么您自己构建原始 SQL 并且根本不使用参数也是相当安全的。

这当然是我使用PostgreSQL的重要原因之一；对数组的原生支持。

于 2013-05-30T17:27:27.110 回答
4

如前所述，“in”列表等在 ado.net 中是出了名的尴尬。正因为如此，一些工具提供了方便的方法来提供帮助。例如，Dapper提供了“in”语法的变体，它自动扩展为正确的参数化形式（仍然保持注入安全等）——在类型绑定和“动态”使用中。例如：

string[] namelist = ...
foreach(var row in conn.Query(@"
    select column_name, table_name
    from information_schema.columns
    where table_name in @namelist",
        new { namelist } ))
{
    string col = row.column_name,
         table = row.table_name;
    // .. 
}

这也避免了使用 db-command/parameter/reader 的麻烦。请注意它用来识别此模式的不带括号的“in” 。

于 2013-05-30T17:37:14.807 回答
-2

您现在没有使用您的列表。如果您不需要它来做其他事情，您可以简单地这样做：

 using (var connection = new SqlConnection(_connectionString))
    {
        connection.Open();
        using (var cmd = connection.CreateCommand())
        {
            cmd.CommandText = @"select column_name, table_name from information_schema.columns where table_name in ('tradeName',  'tableOne', 'tableTwo')"

            var reader = cmd.ExecuteReader();

            while (reader.Read())
            {
              var a = reader[0];
              Console.WriteLine(a);
            }
        }

这将检查它是否在这 3 个值中。

于 2013-05-30T17:22:10.197 回答