在c#的Sql查询中传递字符串

本文关键字：字符串 查询 Sql | 更新日期: 2023-09-27 18:17:49

我有一个sql查询如下:

Select CatId 
From tbl_T2H_Category 
Where Category IN ('Category3', 'Category4', 'Category6')

现在我想要的是IN子句中的值应该从复选框列表中动态添加。我从控件中获得逗号分隔的值，并将其传递给sql查询，如下所示:

string mystring = "Category3,Category4,Category6";
cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN (" + mystring + ")";

这不会在sql端执行，因为sql只识别在"'"'"(单引号)内的字符串。请帮我写合适的查询

在c#的Sql查询中传递字符串

您希望使用表值参数。这里显示的MSDN文章比我能更好地演示它:

http://msdn.microsoft.com/en-us/library/bb675163.aspx

最好使用表值形参来处理。

第一步是创建类型: 
CREATE TYPE dbo.StringList AS TABLE (Value NVARCHAR(MAX) NOT NULL);

下一步是用c#从逗号分隔的列表中创建一个数据表，并传递给SqlCommand:

string mystring = "Category3,Category4,Category6";
string[] myarray = mystring.Split(",".ToCharArray());
DataTable table = new DataTable();
table.Columns.Add("Value", typeof(string));
for (int i = 0; i < myarray.Length; i++)
{
    var row = table.NewRow();
    row[0] = myarray[i];
    table.Rows.Add(row);
}

最后你可以把它传递给SqlCommand:

cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN (SELECT Value FROM @Strings)";
cmd.Parameters.Add(new SqlParameter("@Strings", SqlDbType.Structured)).Value = table;

正确语法

string mystring = "'Category3','Category4','Category6'";
cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN (" + mystring + ")";

但请不要使用它这是。您可以像下面这样使用它(但也不建议这样做)

cmd.commanText = "Select CatId From tbl_T2H_Category Where Category IN ('" + cat_1 + "','" + cat_2 + "','" + cat_3 + "')";

我会用下面这个，它很安全

string commandText = "Select CatId From tbl_T2H_Category Where Category IN (@cat_1,@cat_2 @cat_3)";
 SqlCommand command = new SqlCommand(commandText, connection);
 command.Parameters.Add("@cat1", SqlDbType.Varchar);
 command.Parameters["@cat1"].Value = "category1";
 command.Parameters.Add("@cat2", SqlDbType.Varchar);
 command.Parameters["@cat2"].Value = "category2";
 command.Parameters.Add("@cat3", SqlDbType.Varchar);
 command.Parameters["@cat3"].Value = "category3";

最后一个更安全，它可以防止sql注入

只是把每个类别都用单引号括起来吗?

比如

var mystring = "'Category3','Category4','Category6'"

用

将逗号分隔的值分割成数组
 string[] myArr = commaSepString.Split(',');

，然后用逗号将它们连接起来，像这样用逗号括起来

 string newString = "'"+myArr.Join("','")+"'";

试试这个…

public String returnCategories(string categories) 
    {
        string categoriesConc = "";
        string[] split = categories.Split(',');
        for (int i = 0; i < split.Length; i++) 
        {
            if (string.IsNullOrEmpty(categoriesConc))
            {
                categoriesConc = split[i].ToString();
            }
            else 
            {
                categoriesConc = categoriesConc + "," + split[i].ToString();
            }
        }
        return categoriesConc;
    }
相关文章：