MSSQL存储过程中WHERE IN子句处理逗号分隔参数的问题

问题原因 #

你原来的写法里，@SPLIT是一个完整的字符串（比如'11111111','202408050001'），但MSSQL会把IN (@SPLIT)里的@SPLIT当成单个字符串值去匹配EX_COLUMN，而不是拆分成多个独立的值，所以查不到结果。手动替换能生效是因为直接把多个值写进IN子句，MSSQL能识别成多个查询条件。

解决方法 #

方法1：用STRING_SPLIT函数（推荐，SQL Server 2016及以上版本） #

这是最简洁的处理方式，直接将逗号分隔的参数拆分为行集，再用于IN子句：

CREATE PROCEDURE YourProcName
    @IN_ORDER_NO VARCHAR(100)
AS
BEGIN
    SELECT *
    FROM EX_TABLE
    WHERE EX_COLUMN IN (
        SELECT TRIM(value) -- 处理参数中可能带的空格
        FROM STRING_SPLIT(@IN_ORDER_NO, ',')
    )
END

方法2：动态SQL（兼容低版本SQL Server） #

如果你的SQL Server版本低于2016，不支持STRING_SPLIT，可以用动态拼接SQL的方式：

CREATE PROCEDURE YourProcName
    @IN_ORDER_NO VARCHAR(100)
AS
BEGIN
    DECLARE @SPLIT NVARCHAR(200)
    DECLARE @SQL NVARCHAR(MAX)

    -- 拼接带单引号的参数值
    SET @SPLIT = TRIM(CHAR(39)+REPLACE(@IN_ORDER_NO, ',', CHAR(39)+','+CHAR(39))+CHAR(39))
    -- 拼接完整查询语句
    SET @SQL = 'SELECT * FROM EX_TABLE WHERE EX_COLUMN IN (' + @SPLIT + ')'
    -- 执行动态SQL
    EXEC sp_executesql @SQL
END

注意：动态SQL存在SQL注入风险，如果参数来自不可信来源，建议先对@IN_ORDER_NO做合法性校验（比如限制仅允许数字、字母等合法字符）。

方法3：表值参数（最安全，适合复杂场景） #

如果需要更高的安全性和扩展性，可以使用表值参数：

1. 先创建用户定义表类型：

CREATE TYPE OrderNoList AS TABLE (OrderNo VARCHAR(50))

2. 创建接收表值参数的存储过程：

CREATE PROCEDURE YourProcName
    @IN_ORDER_NO OrderNoList READONLY
AS
BEGIN
    SELECT *
    FROM EX_TABLE
    WHERE EX_COLUMN IN (SELECT OrderNo FROM @IN_ORDER_NO)
END

3. 调用存储过程时，先把逗号分隔的参数转成表变量传入：

DECLARE @OrderNos OrderNoList
INSERT INTO @OrderNos (OrderNo)
SELECT TRIM(value) FROM STRING_SPLIT('11111111,202408050001', ',')

EXEC YourProcName @IN_ORDER_NO = @OrderNos

内容的提问来源于stack exchange，提问作者mongvely