嵌入在 SSRS SQL 查询中的 IIF 参数

Question

我希望你能帮助我理解下面的短语。它们是我的 SSRS 报告中 SQL 查询的一部分。从 Report Builder -> Report -> a Dataset，我选择了 Dataset Properties -> Query

下面的部分是WHERE 子句的一部分：它指的是SSRS 参数，我无法理解它们的含义。它们看起来不像我以前使用的简单 IIF 语句，因为它们包含许多符号，例如 "','") & "') " & 。
如果您能通过分解它们来帮助解释其含义，我将不胜感激。

AND PTE_code = '" & Parameters!p_TE.Value & "'") & " 
AND PTY_code IN ('" & Join(Parameters!p_TY.Value,"','") & "') " & Iif(IsNothing(Parameters!pFDate.Value)," "," 
AND (H_expiry_date >= '" & UCase(Format(Parameters!pFDate.Value,"dd-MMM-yyyy")) & "' OR H_expiry_date IS NULL)" ) & Iif(IsNothing(Parameters!pTDate.Value)," "," 
AND (H_expiry_date <= '" & UCase(Format(Parameters!pTDate.Value,"dd-MMM-yyyy")) & "' OR H_expiry_date IS NULL)" ) & iif(Parameters!p_PC.Value="ALL"," "," AND PC = '" & Parameters!p_PC.Value & "' ")

注意事项： PTE_code、PTY_code、H_expiry_date、PC 是表中的字段名称。 p_TE、p_TY、p_FDate、p_TDate、p_PC 是报告中的参数。

Answer 1

只要有双引号，SQL 查询字符串就会在 Reporting Services 中组合。单引号作为查询字符串的一部分发送到数据库服务器，分隔字符串：所以这实际上会发送一个查询，例如：

AND PTE_code = 'p_TEValue' 
AND PTY_code IN ('p_TYValue1','p_TYValue2') 
AND (H_expiry_date >= 'pFDateValueFormatted' OR H_expiry_date IS NULL) 
AND (H_expiry_date <= 'pTDateValueFormatted' OR H_expiry_date IS NULL)
AND PC = 'p_PCValue'

当某些参数为空时，IIF 语句会放置一个空格而不是上述 where 的一部分。 （IIF 的第二个参数是一个空格，当IIF 的第一个参数计算结果为 true 时返回。如果第一个参数计算结果为 false，则返回 IIF 的第三个（最后一个）参数。

顺便说一句，应该重写这个查询以避免p_TEValue 参数上的SQL 注入漏洞。如果 H_expiry_date 是 DATETIME 列，我可能会重写以避免日期字符串格式。