將nvarchar值轉換爲數據類型時轉換失敗int

Question

我在這裏做錯了什麼？

string favorites = "210,213"; 

sqlCommand.CommandText = "select * from clients (nolock) 
    where Deleted = 0 and ClientID in (@favorites)"; 
sqlCommand.Parameters.AddWithValue("@favorites", favorites); 

另一個說明：「210,213」只是一個例子。它可以是任何長度的數字。這就是我使用SQL IN操作符的原因。

謝謝。

Answer 1

這不是參數的工作原理。您實際上試圖獲得ClientID爲的客戶端等於'210,213'。那麼，這不是一個數字，所以有一個失敗。

如果您的IN列表大小是動態變化的，參數化查詢和IN子句實際上並不是一起實現的。

閱讀這太問題和答案：Parameterize an SQL IN clause

一般情況下，你必須動態地組裝您的SQL查詢，總是在腦海的問題保持像SQL Injection。

延伸閱讀：

• Best practice between these two queries
• Deleting from sqlite database using IN
• problem using Oracle parameters in SELECT IN
• Is it possible to use query parameters to fill the IN keyword

Answer 2

我很確定你將需要用收藏夾字符串生成commandtext。數組中沒有內置的sql類型。您可以通過確保從整數列表中生成收藏夾來保護自己免受sql攻擊。