SqlCommand中的字符串列表通过C#中的参数

发布时间：2020-12-15 08:38:23 所属栏目：百科来源：网络整理

导读：在C#中使用SqlCommand我在where子句中创建了一个包含IN(list …)部分的查询.而不是循环我的字符串列表生成我需要查询的列表(如果您认为在sqlInjection中是危险的).我以为我可以创建一个参数,如： SELECT blahblahblah WHERE blahblahblah IN @LISTOFWORDS 然

在C#中使用SqlCommand我在where子句中创建了一个包含IN(list …)部分的查询.而不是循环我的字符串列表生成我需要查询的列表(如果您认为在sqlInjection中是危险的).我以为我可以创建一个参数,如：

SELECT blahblahblah WHERE blahblahblah IN @LISTOFWORDS

然后在代码中我尝试添加如下参数：

DataTable dt = new DataTable();
dt.Columns.Add("word",typeof(string));
foreach (String word in listOfWords)
{
    dt.Rows.Add(word);
}
comm.Parameters.Add("LISTOFWORDS",System.Data.SqlDbType.Structured).Value = dt;

但这不起作用.

问题：

>我在尝试一些不可能的事吗？
>我采取了错误的做法吗？
>这种方法我有错吗？

谢谢你的时间：)

解决方法

您尝试做的是可能但不使用您当前的方法.这是SQL Server 2008在与性能,安全性和内存使用相关的权衡之前所有可能的解决方案的一个非常常见的问题.

This link shows some approaches for SQL Server 2000/2005

SQL Server 2008 supports passing a table value parameter.

我希望这有帮助.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!