ASP.NET中MySQL IN子句参数带引号致查询结果异常的解决咨询

我太懂你踩的这个坑了！你现在的问题根源在于参数化查询会把@Establishments整个值当成单个字符串常量，而不是你期望的多个独立ID。举个例子，你传的'1007','3'会被MySQL自动转义解析，实际执行的SQL相当于：

SELECT EstablishID,Description FROM tblEstablishment WHERE EstablishID IN ('\'1007\',\'3\'')

这自然只会找EstablishID等于这个整串值的行，而不是匹配1007和3，所以才只返回一条结果（甚至可能一条都没有，除非刚好有个ID就是'1007','3'）。

下面给你两种靠谱的解决方法，按推荐程度排序：

方法1：动态生成独立参数（最安全，推荐） #

这种方式完全遵循参数化查询规范，还能彻底避免SQL注入风险，适合所有场景：

假设你的myEstablishments是整数类型的集合（比如List<int>），代码可以这么写：

// 假设你的ID集合是整数类型，字符串类型也同理，只要对应参数类型即可
var myEstablishments = new List<int> { 1007, 3 };
var paramList = new List<MySqlParameter>();
var placeholderList = new List<string>();

// 给每个ID生成独立的参数和占位符
for (int i = 0; i < myEstablishments.Count; i++)
{
    string paramName = $"@establishmentId{i}";
    placeholderList.Add(paramName);
    paramList.Add(new MySqlParameter(paramName, myEstablishments[i]));
}

// 构造带多个占位符的IN子句
sqlDSselectEstablishment.SelectCommand = 
    $"SELECT EstablishID, Description FROM tblEstablishment WHERE EstablishID IN ({string.Join(",", placeholderList)})";

// 把所有参数添加到数据源
foreach (var param in paramList)
{
    sqlDSselectEstablishment.SelectParameters.Add(param);
}

这样生成的SQL会是WHERE EstablishID IN (@establishmentId0,@establishmentId1)，每个ID都是独立的参数，MySQL能正确解析成两个值，返回你要的两条结果。

方法2：使用FIND_IN_SET函数（适合小数据量场景） #

如果你的数据量不大，且EstablishID没有建立索引（或者不在乎索引失效），可以用MySQL的FIND_IN_SET函数简化代码：

// 注意这里不要加引号！直接用逗号拼接原始ID
string strEstablishments = String.Join(",", myEstablishments); // 结果是"1007,3"
sqlDSselectEstablishment.SelectParameters.Add("Establishments", strEstablishments);
sqlDSselectEstablishment.SelectCommand = 
    "SELECT EstablishID, Description FROM tblEstablishment WHERE FIND_IN_SET(EstablishID, @Establishments)";

这个函数会把逗号分隔的字符串拆成集合，然后匹配其中的ID。但要注意：如果EstablishID是索引列，FIND_IN_SET不会走索引，数据量大的话查询速度会很慢，所以只推荐小数据集使用。

为什么你之前的Replace没用？ #

因为参数化查询会自动对字符串参数做转义处理——你手动加的单引号会被转成字符串的一部分，而不是SQL语法里的分隔符。哪怕你用Replace去掉引号，得到的1007,3还是会被当成单个字符串，相当于IN ('1007,3')，还是匹配不到目标ID。

内容的提问来源于stack exchange，提问作者AShah