没有合适的资源?快使用搜索试试~ 我知道了~
首页SqlServer参数化查询之where in和like实现详解
SqlServer参数化查询之where in和like实现详解
7 下载量 185 浏览量
更新于2023-03-03
评论
收藏 79KB PDF 举报
身为一名小小的程序猿,在日常开发中不可以避免的要和where in和like打交道,在大多数情况下我们传的参数不多简单做下单引号、敏感字符转义之后就直接拼进了SQL,执行查询,搞定。若有一天你不可避免的需要提高SQL的查询性能,需要一次性where in 几百、上千、甚至上万条数据时,参数化查询将是必然进行的选择。然而如何实现where in和like的参数化查询,是个让不少人头疼的问题。 where in 的参数化查询实现 首先说一下我们常用的办法,直接拼SQL实现,一般情况下都能满足需要 代码如下: string userIds = “1,2,3,4”; using (SqlConnec
资源详情
资源评论
资源推荐
SqlServer参数化查询之参数化查询之where in和和like实现详解实现详解
身为一名小小的程序猿,在日常开发中不可以避免的要和where in和like打交道,在大多数情况下我们传的参数不多简单做下
单引号、敏感字符转义之后就直接拼进了SQL,执行查询,搞定。若有一天你不可避免的需要提高SQL的查询性能,需要一次
性where in 几百、上千、甚至上万条数据时,参数化查询将是必然进行的选择。然而如何实现where in和like的参数化查询,
是个让不少人头疼的问题。
where in 的参数化查询实现的参数化查询实现
首先说一下我们常用的办法,直接拼SQL实现,一般情况下都能满足需要
代码如下:
string userIds = “1,2,3,4”;
using (SqlConnection conn = new SqlConnection(connectionString))
{
conn.Open();
SqlCommand comm = new SqlCommand();
comm.Connection = conn;
comm.CommandText = string.Format(“select * from Users(nolock) where UserID in({0})”, userIds);
comm.ExecuteNonQuery();
}
需要参数化查询时进行的尝试,很显然如下这样执行SQL会报错错误
代码如下:
using (SqlConnection conn = new SqlConnection(connectionString))
{
conn.Open();
SqlCommand comm = new SqlCommand();
comm.Connection = conn;
comm.CommandText = “select * from Users(nolock) where UserID in(@UserID)”;
comm.Parameters.Add(new SqlParameter(“@UserID”, SqlDbType.VarChar, -1) { Value = “1,2,3,4” });
comm.ExecuteNonQuery();
}
很显然这样会报错误:在将 varchar 值 ‘1,2,3,4’ 转换成数据类型 int 时失败,因为参数类型为字符串,where in时会把
@UserID当做一个字符串来处理,相当于实际执行了如下语句
代码如下:
select * from Users(nolock) where UserID in(‘1,2,3,4’)
若执行的语句为字符串类型的,SQL执行不会报错,当然也不会查询出任何结果
代码如下:
using (SqlConnection conn = new SqlConnection(connectionString))
{
conn.Open();
SqlCommand comm = new SqlCommand();
comm.Connection = conn;
comm.CommandText = “select * from Users(nolock) where UserName in(@UserName)”;
comm.Parameters.Add(new SqlParameter(“@UserName”, SqlDbType.VarChar, -1) { Value = “‘john’,’dudu’,’rabbit'” });
comm.ExecuteNonQuery();
}
这样不会抱任何错误,也查不出想要的结果,因为这个@UserName被当做一个字符串来处理,实际相当于执行如下语句
代码如下:
select * from Users(nolock) where UserName in(”’john”,”dudu”,”rabbit”’)
由此相信大家对于为何简单的where in 传参无法得到正确的结果知道为什么了吧,下面我们来看一看如何实现正确的参数化
执行where in,为了真正实现参数化where in 传参,很多淫才想到了各种替代方案
方案1,使用CHARINDEX或like 方法实现参数化查询,毫无疑问,这种方法成功了,而且成功的复用了查询计划,但同时也
彻底的让查询索引失效(在此不探讨索引话题),造成的后果是全表扫描,如果表里数据量很大,百万级、千万级甚至更多,这
样的写法将造成灾难性后果;如果数据量比较小、只想借助参数化实现防止SQL注入的话这样写也无可厚非,还是得看具体需
求。(不推荐)
代码如下:
using (SqlConnection conn = new SqlConnection(connectionString))
{
conn.Open();
SqlCommand comm = new SqlCommand();
comm.Connection = conn;
//使用CHARINDEX,实现参数化查询,可以复用查询计划,同时会使索引失效
comm.CommandText = “select * from Users(nolock) where CHARINDEX(‘,’+ltrim(str(UserID))+’,’,’,’+@UserID+’,’)>0”;
comm.Parameters.Add(new SqlParameter(“@UserID”, SqlDbType.VarChar, -1) { Value = “1,2,3,4” });
weixin_38509082
- 粉丝: 3
- 资源: 965
上传资源 快速赚钱
- 我的内容管理 收起
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
会员权益专享
最新资源
- RTL8188FU-Linux-v5.7.4.2-36687.20200602.tar(20765).gz
- c++校园超市商品信息管理系统课程设计说明书(含源代码) (2).pdf
- 建筑供配电系统相关课件.pptx
- 企业管理规章制度及管理模式.doc
- vb打开摄像头.doc
- 云计算-可信计算中认证协议改进方案.pdf
- [详细完整版]单片机编程4.ppt
- c语言常用算法.pdf
- c++经典程序代码大全.pdf
- 单片机数字时钟资料.doc
- 11项目管理前沿1.0.pptx
- 基于ssm的“魅力”繁峙宣传网站的设计与实现论文.doc
- 智慧交通综合解决方案.pptx
- 建筑防潮设计-PowerPointPresentati.pptx
- SPC统计过程控制程序.pptx
- SPC统计方法基础知识.pptx
资源上传下载、课程学习等过程中有任何疑问或建议,欢迎提出宝贵意见哦~我们会及时处理!
点击此处反馈
安全验证
文档复制为VIP权益,开通VIP直接复制
信息提交成功
评论0