SqlCommand中的字符串列表通过C#中的参数

Question

在C#中使用SqlCommand我在where子句中创建了一个包含IN(list ...)部分的查询.而不是循环我的字符串列表生成我需要查询的列表(如果您认为在sqlInjection中是危险的).我以为我可以创建一个参数,如:

SELECT blahblahblah WHERE blahblahblah IN @LISTOFWORDS

然后在代码中我尝试添加如下参数:

DataTable dt = new DataTable();
dt.Columns.Add("word", typeof(string));
foreach (String word in listOfWords)
{
    dt.Rows.Add(word);
}
comm.Parameters.Add("LISTOFWORDS", System.Data.SqlDbType.Structured).Value = dt;

但这不起作用.

问题:

• 我在尝试一些不可能的事吗
• 我采取了错误的做法吗？
• 这种方法我有错吗？

谢谢你的时间 :)

Answer 1

您尝试做的事情是可能的，但不使用您当前的方法。这是一个非常常见的问题，在 SQL Server 2008 之前的所有可能的解决方案中都存在与性能、安全性和内存使用相关的权衡。

此链接显示了 SQL Server 2000/2005 的一些方法

SQL Server 2008 支持传递表值参数。

我希望这有帮助。