博客
关于我
C# 参数化SQL语句中的like和in
阅读量:776 次
发布时间:2019-03-24

本文共 2229 字,大约阅读时间需要 7 分钟。

在项目开发过程中,经常会遇到需要对SQL语句进行参数化的情况。大家通常会遇到两种常见的SQL参数化方式:LIKEIN参数化。在实际开发中,使用这些参数化方式可能会出现问题,导致程序无法正常执行或搜索到结果。本文将详细描述解决这两个SQL参数化问题的方法。

常见的SQL参数化方式可以分为两种:LIKE参数和IN参数。

1. LIKE 参数

传统的LIKE参数化方式如下:

string strSql = "select * from Person.Address where City like '%@add%'";
SqlParameter[] Parameters=new SqlParameter[1];
Parameters[0] = new SqlParameter("@add", "bre");

这种方式的局限性在于直接将用户输入的数据穿透到LIKE语句的模糊查询中,可能导致安全隐患。然而,不是所有情况都支持使用IN参数化的方式来完成LIKE操作。因此,在无法使用IN参数化的情况下,我们有两种主要的解决方法:

方法一:动态构建查询字符串

LIKE参数改写为动态构建的查询字符串:

string strSql = "select * from Person.Address where City like '%'+ @add + '%'";
SqlParameter[] Parameters=new SqlParameter[1];
Parameters[0] = new SqlParameter("@add", "bre");

这种方式通过在查询字符串两侧添加百分号,将LIKE参数转化为动态查询逻辑。这种方法的优势在于保持了LIKE操作的灵活性,能够根据实际需求对查询结果进行筛选。

方法二:使用存储过程

如果项目支持使用存储过程,可以编写如下存储过程,实现类似LIKE的功能:

string strSql = "exec('select * from Person.Address where City like '%'+ @add + '%')";
SqlParameter[] Parameters = new SqlParameter[1];
Parameters[0] = new SqlParameter("@add", "bre");

这种方法的优势在于可将LIKE逻辑封装到存储过程中,提高了程序的安全性和 Maintainability。这种方法尤其适用于需要对LIKE参数进行精 确控制的情况。

2. IN 参数

对于IN参数的常规参数化方式如下:

string strSql = "select * from Person.Address where AddressID in (@add)";
SqlParameter[] Parameters = new SqlParameter[1];
Parameters[0] = new SqlParameter("@add", "343,372,11481,11533,11535,11755,11884,12092,12093,12143");

这种方法的局限性在于默认情况下,并不能直接将多个值通过参数化方式传递到IN语句中。这是因为IN语句在数据库中通常需要迭代处理多个值,但参数化操作会将整个数据字符串作为一个整体传递,导致数据被错误解析或转义。

解决IN参数化问题的常见方法对多个情况都有相应的解决方案:

方法一:动态构建IN语句

构建动态的IN语句:

string strSql = "select * from Person.Address where AddressID in (" + @add + ")";
SqlParameter[] Parameters = new SqlParameter[1];
Parameters[0] = new SqlParameter("@add", "343,372,11481,11533,11535,11755,11884,12092,12093,12143");

这种方式通过将IN参数转换为字符串,并将其嵌入到IN语句中,实现了对多个值的动态处理。这种方法在登录限额超过的情况下表现良好,但需要确保字符串的正确转义和格式。

方法二:存储过程

如果项目支持存储过程,可以编写如下存储过程来实现IN的功能:

string strSql = "exec('select * from Person.Address where AddressID in ('+@add+')')";
SqlParameter[] Parameters = new SqlParameter[1];
Parameters[0] = new SqlParameter("@add", "343,372,11481,11533,11535,11755,11884,12092,12093,12143");

这种方法通过将IN语句包裹在存储过程中,提高了对参数的安全控制。这种方法在复杂的数据过滤场景下表现优异。

总结来说,LIKEIN参数化是开发过程中常遇到的问题。针对这两种情况,我们可以根据具体需求选择使用动态构建查询字符串的方法或存储过程的方式。这两种方法都能够有效地支持参数化操作,并能够满足实战中的各种开发需求。

转载地址:http://ftekk.baihongyu.com/

你可能感兴趣的文章
MySQL 查看有哪些表
查看>>
mysql 查看锁_阿里/美团/字节面试官必问的Mysql锁机制,你真的明白吗
查看>>
MySql 查询以逗号分隔的字符串的方法(正则)
查看>>
MySQL 查询优化:提速查询效率的13大秘籍(避免使用SELECT 、分页查询的优化、合理使用连接、子查询的优化)(上)
查看>>
mysql 查询,正数降序排序,负数升序排序
查看>>
MySQL 树形结构 根据指定节点 获取其下属的所有子节点(包含路径上的枝干节点和叶子节点)...
查看>>
mysql 死锁 Deadlock found when trying to get lock; try restarting transaction
查看>>
mysql 死锁(先delete 后insert)日志分析
查看>>
MySQL 死锁了,怎么办?
查看>>
MySQL 深度分页性能急剧下降,该如何优化?
查看>>
MySQL 深度分页性能急剧下降,该如何优化?
查看>>
MySQL 添加列,修改列,删除列
查看>>
mysql 添加索引
查看>>
MySQL 添加索引,删除索引及其用法
查看>>
MySQL 用 limit 为什么会影响性能?
查看>>
MySQL 用 limit 为什么会影响性能?有什么优化方案?
查看>>
MySQL 用户权限管理:授权、撤销、密码更新和用户删除(图文解析)
查看>>
mysql 用户管理和权限设置
查看>>
MySQL 的 varchar 水真的太深了!
查看>>
mysql 的GROUP_CONCAT函数的使用(group_by 如何显示分组之前的数据)
查看>>