Web Services 如何设置sql查询的可选参数？

6l7fqoea 于 2022-11-15 发布在其他

关注(0)|答案(2)|浏览(223)

我在ASP.NET中构建了一个Web服务，它向我发送一个房间列表。
参数是由逗号分隔的ID。
我将它们保存为字符串并构建了一个sql选择查询。
当我发送所有4个参数时，我一切正常，我得到一个结果。但当我发送少于4个参数时，我得到一个错误。

System.Data.SqlClient.SqlException: Incorrect syntax near ')'.

如何在sql查询中设置可选参数，以便只选择输入的值？
下面是我目前的代码：

internal static List<RAUM> Raum(string RAUMKLASSE_ID, string STADT_ID, string GEBAEUDE_ID, string REGION_ID)
{
    List<RAUM> strasseObject = new List<RAUM>();
    string raumklasseid = RAUMKLASSE_ID;
    string gebaudeid = GEBAEUDE_ID;
    string stadtid = STADT_ID;
    string regionid = REGION_ID;

    using (SqlConnection con = new SqlConnection(@"Data Source=Localhost\SQLEXPRESS;Initial Catalog=BOOK-IT-V2;Integrated Security=true;"))
    using (SqlCommand cmd = new SqlCommand(@"SELECT r.BEZEICHNUNG AS BEZEICHNUNG, r.ID AS ID FROM RAUM r WHERE RAUMKLASSE_ID IN (" + raumklasseid + ") AND STADT_ID IN (" + stadtid + ") AND GEBAEUDE_ID IN (" + gebaudeid + ") AND REGION_ID IN (" + regionid + ")", con))
    {
        con.Open();

        using (SqlDataReader rdr = cmd.ExecuteReader())
        {
            while (rdr.Read())
            {
                if (rdr["BEZEICHNUNG"] != DBNull.Value && rdr["ID"] != DBNull.Value)
                {
                    strasseObject.Add(new RAUM()
                    {
                        RaumName = rdr["BEZEICHNUNG"].ToString(),
                        RaumID = rdr["ID"].ToString()
                    });
                }
            }
        }
    }

    return strasseObject;
}

提前感谢您的帮助。

web-services

来源：https://stackoverflow.com/questions/11099547/how-can-i-set-the-parameters-for-the-sql-query-optional

2条答案

按热度按时间

yftpprvb1#

假设参数REGION_ID是一个空字符串，那么查询的这一部分将类似于：

...AND REGION_ID IN ()...

因为在AND REGION_ID IN (" + regionid + ")"中，regionid变量将被替换为空字符串。这不是有效的SQL语法，因此您将获得该异常。
声明如下函数：

private static void AppendConstrain(StringBuilder query, string name, string value)
{
    if (String.IsNullOrWhiteSpace(value))
        return;

    if (query.Length > 0)
        query.Append(" AND ");
    
    query.AppendFormat("{0} IN ({1})", name, value);
}

然后更改您的代码，以如下方式生成查询：

StringBuilder constrains = new StringBuilder();
AppendConstrain(contrains, "RAUMKLASSE_ID", RAUMKLASSE_ID);
AppendConstrain(contrains, "GEBAEUDE_ID", GEBAEUDE_ID);
AppendConstrain(contrains, "STADT_ID", STADT_ID);
AppendConstrain(contrains, "REGION_ID", REGION_ID);

StringBuilder query =
    new StringBuilder("SELECT r.BEZEICHNUNG AS BEZEICHNUNG, r.ID AS ID FROM RAUM r");

if (constrains.Length > 0)
{
    query.Append(" WHERE ");
    query.Append(constrains);
}

using (SqlCommand cmd = new SqlCommand(query.ToString(), con))
{
    // Your code...
}

警告：不要在生产环境中使用这段代码，也不要在用户输入时使用这段代码，因为这段代码容易受到SQL注入的攻击。

赞(0）回复(0）举报 2022-11-15

ekqde3dh2#

编写存储过程并传递参数总是一种更好的方法。但是在你的方法中，你应该拆分你的查询，因为不确定值。所以，你的代码应该是这样的。
你自己测试一下，我没检查

string raumklasseid = RAUMKLASSE_ID;
        string gebaudeid = GEBAEUDE_ID;
        string stadtid = STADT_ID;
        string regionid = REGION_ID;
        string whereClause = string.Empty;

if (!string.IsNullorEmpty(raumklasseid))
{
   whereClause = "RAUMKLASSE_ID IN (" + raumklasseid + ")";
}
if (!string.IsNullorEmpty(stadtid ))
{
   if(string.IsNullorEmpty(whereClause)
      whereClause = "STADT_ID IN (" + stadtid + ")";
   else 
      whereClause += "AND RSTADT_ID IN (" + stadtid + ")";
}
if (!string.IsNullorEmpty(stadtid ))
{
   if(string.IsNullorEmpty(whereClause)
      whereClause = "STADT_ID IN (" + stadtid + ")";
   else 
      whereClause += "AND RSTADT_ID IN (" + stadtid + ")";
}
if (!string.IsNullorEmpty(regionid))
{
   if(string.IsNullorEmpty(whereClause)
      whereClause = "REGION_ID IN (" + regionid + ")";
   else 
      whereClause += "AND REGION_ID IN (" + regionid + ")";
}

if(!string.IsNullorEmpty(whereClause)
whereClause = "WHERE " + whereClause ;

// now your cmd should be like that

using (SqlCommand cmd = new SqlCommand(@"SELECT r.BEZEICHNUNG AS BEZEICHNUNG, r.ID AS ID FROM RAUM r " + whereClause , con))

赞(0）回复(0）举报 2022-11-15

我来回答

Web Services 如何设置sql查询的可选参数？

2条答案

相关问题

热门标签

最新问答