如何在 .NET SQL 查询中参数化 LIKE 和 IN 条件？

带有 LIKE 和 IN 条件的参数化查询

在 .NET 编程领域，参数化查询通常很容易设置。但是，在处理涉及多个值的复杂条件时，会出现困难。

考虑以下同时包含 IN 条件和 LIKE 条件的查询：

SqlCommand comm = new SqlCommand(@"
   SELECT * 
   FROM   Products 
   WHERE  Category_ID IN (@categoryids) 
      OR  name LIKE '%@name%'
", 
   conn);
comm.Parameters.Add("@categoryids", SqlDbType.Int);
comm.Parameters["@categoryids"].Value = CategoryIDs;
comm.Parameters.Add("@name", SqlDbType.Int);
comm.Parameters["@name"].Value = Name;

在这种情况下，CategoryIDs 是一个以逗号分隔的数字列表，Name 是可能包含特殊字符的字符串。挑战在于正确地参数化这些值。

解决方案

为了解决这个问题，我们构建了一系列参数名称@p0到@pN-1，其中N是数组中类别 ID 的数量。然后，我们为每个名称创建参数，并将相应的类别 ID 指定为值。

对于 LIKE 条件，我们使用字符串串联来构建包含 @name 的模糊搜索表达式。

这是一个示例来说明该过程：

string Name = "someone";
int[] categoryIDs = new int[] { ... };

SqlCommand comm = conn.CreateCommand();

string[] parameters = new string[categoryIDs.Length];
for(int i=0;i<categoryIDs.Length;i++)
{
   parameters[i] = "@p"+i;
   comm.Parameters.AddWithValue(parameters[i], categoryIDs[i]);
}
comm.Parameters.AddWithValue("@name",$"%{Name}%");
comm.CommandText = "SELECT * FROM Products WHERE Category_ID IN (";
comm.CommandText += string.Join(",", parameters) + ")";
comm.CommandText += " OR name LIKE @name";

这个完全参数化的查询确保了处理复杂条件的安全性和灵活性。虽然该示例使用数组，但该技术适用于任何值集合。

以上是如何在 .NET SQL 查询中参数化 LIKE 和 IN 条件？的详细内容。更多信息请关注PHP中文网其他相关文章！