从Bizagi向SQL Server传递含NULL值的UPDATE查询字符串问题

你的核心问题是直接拼接SQL字符串时，无法正确处理NULL值，同时存在SQL注入风险和数据格式错误隐患。以下是两种解决方案，优先推荐参数化查询：

方案一：参数化查询（推荐） #

这是处理SQL动态值的标准做法，能自动处理NULL、数据格式，还能彻底避免SQL注入。

var cmd = new SqlCommand(@"UPDATE dbo.SupplierProductionScheduleReplies 
                           SET OrderReceived = @OrderReceived, 
                               FactoryReadyDate = @FactoryReadyDate, 
                               MVTPNo = @MVTPNo, 
                               LastUpdated = @LastUpdated 
                           WHERE id = @Id");

// 逐个添加参数，自动映射NULL为SQL可识别的DBNull.Value
cmd.Parameters.AddWithValue("@OrderReceived", bOrderReceived ?? (object)DBNull.Value);
cmd.Parameters.AddWithValue("@FactoryReadyDate", dFactoryReadyDate ?? (object)DBNull.Value);
cmd.Parameters.AddWithValue("@MVTPNo", string.IsNullOrEmpty(sMVTPNo) ? (object)DBNull.Value : sMVTPNo);
cmd.Parameters.AddWithValue("@LastUpdated", dLastUpdated ?? (object)DBNull.Value);
cmd.Parameters.AddWithValue("@Id", iId);

cmd.Connection = connection;
cmd.ExecuteNonQuery();
connection.Close();

参数处理说明： #

• 布尔型：通过??运算符，若变量为NULL则替换为DBNull.Value（对应SQL的NULL）
• 日期型：同理自动处理NULL，无需手动添加单引号，SQL Server会自动识别日期格式
• 字符串型：判断为空时用DBNull.Value，否则直接传入原值，自动处理单引号转义

方案二：手动拼接字符串（不推荐） #

如果必须用字符串拼接，需要手动处理每个字段的NULL和格式问题，同时注意转义特殊字符：

// 逐个处理字段的SQL片段
string orderReceivedPart = bOrderReceived.HasValue ? bOrderReceived.Value.ToString().ToUpper() : "NULL"; // 布尔值转SQL的TRUE/FALSE或0/1
string factoryReadyDatePart = dFactoryReadyDate.HasValue ? $"'{dFactoryReadyDate.Value:yyyy-MM-dd}'" : "NULL";
string mvtpNoPart = string.IsNullOrEmpty(sMVTPNo) ? "NULL" : $"'{sMVTPNo.Replace("'", "''")}'"; // 转义单引号避免语法错误
string lastUpdatedPart = dLastUpdated.HasValue ? $"'{dLastUpdated.Value:yyyy-MM-dd HH:mm:ss}'" : "NULL";

// 拼接最终SQL
var cmd = new SqlCommand($"UPDATE dbo.SupplierProductionScheduleReplies SET OrderReceived = {orderReceivedPart}, FactoryReadyDate = {factoryReadyDatePart}, MVTPNo = {mvtpNoPart}, LastUpdated = {lastUpdatedPart} WHERE id = {iId}");

cmd.Connection = connection;
cmd.ExecuteNonQuery();
connection.Close();

注意事项： #

• 字符串必须转义单引号（'替换为''），否则会导致SQL语法错误，还可能引发SQL注入
• 日期必须指定明确格式（如yyyy-MM-dd），避免因区域设置导致的格式错误
• 布尔值需根据SQL Server的设置转成TRUE/FALSE或0/1

内容的提问来源于stack exchange，提问作者MickO