在C#中使用sqlCommand我在where子句中创建了一个包含IN(list …)部分的查询.而不是循环我的字符串列表生成我需要查询的列表(如果您认为在sqlInjection中是危险的).我以为我可以创建一个参数,如：
SELECT blahblahblah WHERE blahblahblah IN @LISTOFWORDS
DataTable dt = new DataTable();
dt.Columns.Add("word",typeof(string));
foreach (String word in listOfWords)
{
dt.Rows.Add(word);
}
comm.Parameters.Add("LISTOFWORDS",System.Data.sqlDbType.Structured).Value = dt;
但这不起作用.
问题：
>我在尝试一些不可能的事吗？
>我采取了错误的做法吗？
>这种方法我有错吗？
谢谢你的时间 ：)
解决方法
您尝试做的是可能但不使用您当前的方法.这是sql Server 2008在与性能,安全性和内存使用相关的权衡之前所有可能的解决方案的一个非常常见的问题.
This link shows some approaches for SQL Server 2000/2005
SQL Server 2008 supports passing a table value parameter.
我希望这有帮助.
