在C#聊天机器人中调用SQL Server存储过程的实现咨询

一、存储过程调用的正确写法 #

根据你使用的数据访问方式（Entity Framework 或原生ADO.NET），提供两种常见实现：

1. 基于Entity Framework Core（EF Core）的写法 #

如果之前用Linq查询是基于EF Core，可直接替换为存储过程调用：

情况1：返回结果对应现有实体（比如Employee）

// 替换原Linq查询的代码段
using var context = new ChatBotDbContext(); // 你的DbContext实例
int targetEmployeeId = 123; // 要查询的员工ID

// 方式1：使用参数化插值（自动处理参数，避免注入）
var employees = context.Employees
    .FromSqlInterpolated($"EXEC GetEmployeeDetails @EmployeeID = {targetEmployeeId}")
    .ToList();

// 方式2：显式使用SqlParameter（更直观的参数控制）
var employeeParam = new SqlParameter("@EmployeeID", targetEmployeeId);
var employees = context.Employees
    .FromSqlRaw("EXEC GetEmployeeDetails @EmployeeID", employeeParam)
    .ToList();

情况2：返回复杂关联结果（无对应实体）

先定义一个DTO类映射存储过程返回的字段：

public class EmployeeDetailsDto
{
    public int EmployeeId { get; set; }
    public string EmployeeName { get; set; }
    public string DepartmentName { get; set; } // 关联查询的部门字段
    // 其他需要的字段
}

再调用存储过程：

using var context = new ChatBotDbContext();
int targetEmployeeId = 123;
var param = new SqlParameter("@EmployeeID", targetEmployeeId);

var employeeDetails = context.Database
    .SqlQueryRaw<EmployeeDetailsDto>("EXEC GetEmployeeDetails @EmployeeID", param)
    .ToList();

2. 原生ADO.NET写法（不依赖EF） #

如果直接用数据库连接操作：

string connectionString = "你的Azure SQL数据库连接字符串";
int targetEmployeeId = 123;

using var conn = new SqlConnection(connectionString);
conn.Open();

// 方式1：指定CommandType为StoredProcedure（推荐）
using var cmd = new SqlCommand("GetEmployeeDetails", conn);
cmd.CommandType = CommandType.StoredProcedure;
cmd.Parameters.AddWithValue("@EmployeeID", targetEmployeeId);

// 方式2：直接写EXEC语句（需参数化）
// using var cmd = new SqlCommand("EXEC GetEmployeeDetails @EmployeeID", conn);
// cmd.Parameters.AddWithValue("@EmployeeID", targetEmployeeId);

using var reader = cmd.ExecuteReader();
while (reader.Read())
{
    // 读取并映射数据到对象
    var employee = new Employee
    {
        Id = reader.GetInt32(reader.GetOrdinal("EmployeeID")),
        Name = reader.GetString(reader.GetOrdinal("EmployeeName")),
        Department = reader.GetString(reader.GetOrdinal("DepartmentName"))
    };
    // 处理查询到的员工数据
}

二、代码放置位置 #

直接替换原Linq查询所在的代码块即可：

• 找到你原来写Linq查询（比如context.Employees.Where(e => e.Id == xxx).ToList()）的位置，删除这段Linq代码，替换为上面的存储过程调用代码。
• 保持原有代码的上下文逻辑不变，比如数据库连接/ DbContext的生命周期管理（比如using包裹）、数据后续处理逻辑（比如把查询结果返回给聊天机器人的响应模块）。

三、关于直接使用EXEC语句传入参数的问题 #

可以直接用EXEC语句调用存储过程，但必须使用参数化方式，绝对不能拼接字符串（比如"EXEC GetEmployeeDetails @EmployeeID = " + targetEmployeeId），否则会存在SQL注入风险。

推荐优先使用CommandType.StoredProcedure的方式（原生ADO.NET）或EF Core的参数化查询方法，这种写法更清晰，框架会自动处理参数的安全传递，避免注入问题。

内容的提问来源于stack exchange，提问作者CharlieBitMaFinga