如何在SQL存储过程中用LIKE子句处理NULL INT值并返回数据

嘿，我完全懂你碰到的这个糟心事——当存储过程里的整数参数TNID传NULL时，哪怕其他参数都带着有效值，查询结果还是啥都没有，虽说用了ISNULL但根本没起作用。而且你想在存储过程层面搞定这个逻辑，毕竟直接用C#能跑通，但存储过程里处理既能复用逻辑还能防SQL注入，对吧？

问题根源：你的ISNULL用法可能没踩对点 #

大概率你之前的写法是类似WHERE TNID = ISNULL(@TNID, TNID)？不对，或者是把NULL替换成了某个固定值（比如ISNULL(@TNID, 0)），这就导致当参数为NULL时，查询会去匹配TNID=0（或者你指定的其他值），而不是忽略这个条件，自然查不到你想要的数据。

两种靠谱的解决方案，都能防SQL注入 #

方案1：直接在WHERE子句里做条件判断（简单直观）

这种方式适合参数不多的场景，核心逻辑是：当参数为NULL时，跳过该条件；不为NULL时再做匹配。代码示例：

CREATE PROCEDURE YourTargetProcedure
    @TNID INT = NULL,
    @OtherParam1 VARCHAR(50), -- 假设这是其他必填参数
    @OtherParam2 INT -- 另一个必填参数
AS
BEGIN
    SET NOCOUNT ON;

    SELECT *
    FROM YourTargetTable
    WHERE 
        -- 关键逻辑：TNID参数为NULL时，这部分条件直接成立，不会过滤数据
        (@TNID IS NULL OR TNID = @TNID)
        AND YourColumn1 = @OtherParam1
        AND YourColumn2 = @OtherParam2;
END

这个写法完全是参数化的，不存在SQL注入风险，而且逻辑清晰，一眼就能看懂。

方案2：动态参数化SQL（适合多可选参数场景）

如果你的存储过程有很多可选参数，用动态SQL构建查询语句会更灵活，而且通过sp_executesql执行参数化查询，同样能彻底避免SQL注入：

CREATE PROCEDURE YourTargetProcedure
    @TNID INT = NULL,
    @OtherParam1 VARCHAR(50),
    @OtherParam2 INT
AS
BEGIN
    SET NOCOUNT ON;

    DECLARE @SQLQuery NVARCHAR(MAX);
    DECLARE @ParamDefinitions NVARCHAR(MAX);

    -- 基础查询语句，WHERE 1=1是为了方便后续拼接AND条件
    SET @SQLQuery = N'
        SELECT *
        FROM YourTargetTable
        WHERE 1=1';

    -- 只有当TNID不为NULL时，才添加对应的过滤条件
    IF @TNID IS NOT NULL
    BEGIN
        SET @SQLQuery += N' AND TNID = @TNID';
    END

    -- 拼接其他必填参数的条件
    SET @SQLQuery += N' AND YourColumn1 = @OtherParam1 AND YourColumn2 = @OtherParam2';

    -- 定义参数类型，确保参数化执行
    SET @ParamDefinitions = N'@TNID INT, @OtherParam1 VARCHAR(50), @OtherParam2 INT';

    -- 执行参数化查询
    EXEC sp_executesql @SQLQuery, @ParamDefinitions, 
        @TNID = @TNID, 
        @OtherParam1 = @OtherParam1, 
        @OtherParam2 = @OtherParam2;
END

这种方式的好处是，SQL Server会根据不同的参数组合生成对应的执行计划，在大量可选参数的场景下性能可能更优。

最后再确认下 #

不管用哪种方案，核心都是当参数为NULL时忽略该过滤条件，而不是用ISNULL把NULL替换成某个具体值。这样就能和你C#里实现的逻辑完全一致，同时还能在存储过程层面防范SQL注入。

内容的提问来源于stack exchange，提问作者Inno