关于SqlParameter中IN子句查询的问题

2010-05-21 05:49:33 658 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

SQL Server参数化查询性能陷阱：SqlParameter Size必须显式指定参数化查询不仅是防止SQL注入的安全机制，更是SQL Server执行计划缓存复用的核心前提。其本质在于向数据库提供稳定、可预测的参数元数据契约，而VarChar/NVarChar等变长字符串类型的Size缺失或不一致，将导致SQL Server生成多个无法复用的执行计划，引发CPU飙升、缓存膨胀与响应抖动。这一问题在.NET ADO.NET开发中尤为普遍，根源在于AddWithValue自动推断和未显式指定Size。掌握SqlParameter的SqlDbType、Size、Precision/Scale 阅读详情

priductId="1,2,3,4,4,5,6";



        public int Delete(string ProductId)

        {

            //cmdText = "delete from Product where ProductId in (" + ProductId + ")";

            //res = sqlhelper.ExecuteNonQuery(cmdText, CommandType.Text);

            //return res;



            string TempString = "("+ProductId+")";

            cmdText = "delete from Product where ProductId in @TempString";

            SqlParameter[] paras = new SqlParameter[] { 

            new SqlParameter("@TempString",TempString)

            };

            res = sqlhelper.ExecuteNonQuery(cmdText, CommandType.Text);

            return res;

        }

我怎样搞也搞不出来,请高人指点一下

...全文

SQL Server中IN和LIKE参数化查询的六大实战方案在关系型数据库开发中，WHERE IN 和 LIKE 子句的参数化并非简单添加 @param 即可实现，其本质涉及 SQL Server 的参数绑定机制、执行计划复用、索引可用性（SARGability）及安全边界。不恰当的实现会导致全表扫描、SQL 注入风险、执行计划缓存失效与性能断崖式下降。本文聚焦 SQL Server 环境下动态集合匹配场景，深入剖析 CHARINDEX 模拟、EXEC 动态拼接、多参数展开、临时表、XML 解析及表值参数（TVP）六大方案的底层原理与工程权衡，尤其强调 TVP 作为阅读详情

eimen3030

C# 111,128 成员 642,536 内容

+ 关注 + 加入社区

切换为时间正序

listen 2011-08-19

打赏
举报

in 参数
string strSql = "exec(’select * from Person.Address where AddressID in (’+@add+’)’)";
SqlParameter[] Parameters = new SqlParameter[1];
Parameters[0] = new SqlParameter("@add", "343,372,11481,11533,11535,11755,11884,12092,12093,12143");

eimen3030 2010-05-25

打赏
举报

谢谢了,看只能用其它方法了.

Jeremiah 2010-05-21

打赏
举报

[Quote=引用 10 楼 w59879213 的回复:]

可以分2部份处理,
1. 首先,在MSSQL数据库服务器上创建一个自定义的函数.
2. 在C#的Query中使用这个函数.
SQL code

CREATE FUNCTION [dbo].[f_split](@c varchar(2000),@split varchar(2))
returns @t TABLE(col varchar(20))
……
[/Quote]
有点问题,补充一下.
这个一句, string TempString = "("+ProductId+")";
不用拼接,直接使用 string TempString = "1,2,3,4,4,5,6"; 即可.

Jeremiah 2010-05-21

打赏
举报

可以分2部份处理,
1. 首先,在MSSQL数据库服务器上创建一个自定义的函数.
2. 在C#的Query中使用这个函数.



CREATE   FUNCTION   [dbo].[f_split](@c   varchar(2000),@split   varchar(2))  

  returns   @t   TABLE(col   varchar(20))  

  AS  

    begin  

      while(charindex(@split,@c)<>0)  

        begin  

          INSERT   @t(col)   VALUES   (substring(@c,1,charindex(@split,@c)-1))  

          SET   @c   =   stuff(@c,1,charindex(@split,@c),'')  

        end  

      INSERT   @t(col)   VALUES   (@c)  

      RETURN  

    end  

GO





string TempString = "("+ProductId+")";



cmdText = "delete from Product where ProductId in (select * from dbo.f_split(@TempString,’,'))";



SqlParameter[] paras = new SqlParameter[] { 

new SqlParameter("@TempString",TempString)

};