SQL Server：动态 where 子句

Question

问题：

Ajax 建议搜索食谱中的 [n] 成分。即：将食谱与多种成分相匹配。

例如：SELECT Recipes using "flower", "salt" 会产生："Pizza", "Bread", "Saltwater" 等等。

表格：

Ingredients [
    IngredientsID INT [PK],
    IngredientsName VARCHAR
]

Recipes [
    RecipesID INT [PK],
    RecipesName VARCHAR
]

IngredientsRecipes [
    IngredientsRecipesID INT [PK],
    IngredientsID INT,
    RecipesID INT
]

查询：

SELECT
    Recipes.RecipesID,
    Recipes.RecipesName,
    Ingredients.IngredientsID,
    Ingredients.IngredientsName
FROM
    IngredientsRecipes

    INNER JOIN Ingredients
    ON IngredientsRecipes.IngredientsID = Ingredients.IngredientsID

    INNER JOIN Recipes
    ON IngredientsRecipes.RecipesID = Recipes.RecipesID
WHERE
    Ingredients.IngredientsName IN ('salt', 'water', 'flower')

由于WHERE 子句的动态特性，我目前正在使用 ASP.NET C# 构建查询。

我不得不在我的代码层中构建查询，而不是使用存储过程/纯 SQL，理论上应该更快。

你们对我如何将所有逻辑从我的代码层转移到纯 SQL 或至少如何优化我正在做的事情的性能有任何想法吗？

我正在考虑临时表：

第一步：SELECT IngredientsID FROM Ingredients和INSERT INTO temp-table

第二步：SELECT RecipesName FROM Recipes加入IngredientsRecipes加入temp-table.IngredientsID

Answer 1

你至少可以参数化 where 子句以避免 SQL 注入，类似的东西：

using System.Data;
using System.Data.SqlClient;
using System.Text;

class Foo
{
    public static void Main ()
    {
        string[] parameters = {"salt", "water", "flower"};
        SqlConnection connection = new SqlConnection ();
        SqlCommand command = connection.CreateCommand ();
        StringBuilder where = new StringBuilder ();
        for (int i = 0; i < parametes.Length; i++)
        {
            if (i != 0)
                where.Append (",");
            where.AppendFormat ("@Param{0}", i);
            command.Parameters.Add (new SqlParameter ("Param" + i, parameters [i]));
        }
    }
}

Answer 2

你有两个选择。如果您使用的是 SQL Server 2008（或 Oracle），则可以传入 table value parameter。

如果您使用的是 SQL Server 2005，则可以使用XML to simulate this capability

如果您使用的是 2005 年之前的版本，则需要将 id 连接到一个字符串中并创建一个 UDF 来解析它们。

Answer 3

根据您处理输入成分的方式，我认为当前的方法存在一些 sql 注入风险。

您可以将成分名称附加到可能更快的连接条件中。

您还可以对收据的成分组合进行哈希处理，以便快速查找。