按参数列表过滤 SQL 查询

Question

我有一个查询，我想返回与值列表关联的所有行。你可以很简单地写成：

select * from TableA where ColumnB in (1, 2, 3, 5)

我可以在 C# 中生成这个查询并执行它。然而，这显然不太理想，因为它不使用参数，在尝试缓存查询计划时会受到影响，并且显然容易受到 SQL 注入攻击。

另一种方法是将其写为：

select * from TableA where ColumnB = @value

这可以由 C# 执行多次，但是这将导致 N 个 DB 命中。

我能看到的唯一另一种选择是创建一个临时表并以这种方式加入它，但是我不认为这一点，因为它会更复杂，并且会受到与第一个选项相同的限制。

我正在使用 SQL 服务器和 OLDB，创建查询不是问题。我正在尝试创建最有效的流程。

这三种方法中哪一种更有效？我错过了替代方案吗？

Answer 1

假设 SQL Server 2008 或更高版本，在 SQL Server 中创建表类型一次：

CREATE TYPE dbo.ColumnBValues AS TABLE
(
  ColumnB INT
);

然后是一个以这种类型为输入的存储过程：

CREATE PROCEDURE dbo.whatever
  @ColumnBValues dbo.ColumnBValues READONLY
AS
BEGIN
  SET NOCOUNT ON;

  SELECT A.* FROM dbo.TableA AS A
    INNER JOIN @ColumnBValues AS c
    ON A.ColumnB = c.ColumnB;
END
GO

现在在 C# 中，创建一个 DataTable 并将其作为参数传递给存储过程：

DataTable cbv = new DataTable();
cbv.Columns.Add(new DataColumn("ColumnB"));

// in a loop from a collection, presumably:
cbv.Rows.Add(someThing.someValue);

using (connectionObject)
{
    SqlCommand cmd        = new SqlCommand("dbo.whatever", connectionObject);
    cmd.CommandType       = CommandType.StoredProcedure;
    SqlParameter cbvParam = cmd.Parameters.AddWithValue("@ColumnBValues", cbv);
    cbvParam.SqlDbType    = SqlDbType.Structured;
    //cmd.Execute...;
}

（您可能希望使该类型更通用，我专门命名它以明确它在做什么。）

Answer 2

您也可以使用multiple resultsets 并像这样发送一堆查询：

select * from TableA where ColumnB = @value0
select * from TableA where ColumnB = @value1
select * from TableA where ColumnB = @value2
...
select * from TableA where ColumnB = @valuen

在单个通话中。 即使明显违反直觉，它也会利用执行计划并且在参数化方面是安全的。

Answer 3

你可以很容易地这样写：

String csvString = "1, 2, 3, 5"; // Built the list somehow, don't forget escaping
String query = "select * from TableA where ColumnB in (" + csvString + ")";

通过这种方式，性能不会降低，并且您可以防止 Sql Injection 在创建 csvString 时简单地转义输入值。

顺便说一句，如果你使用 MS SQL 而不是标准 SQL，你可以findalternativeways。