如何调用带IN子句多值参数的SQL Server存储过程ItemList

首先得说清楚：你现在用的这个存储过程写法本身有个小问题——SQL Server不会自动把字符串参数@FilterStr里的逗号拆成IN子句的多个值，所以直接传'ABC','DEF','HJK'不仅会被当成参数分隔符，就算成功传进去，SQL也只会把整个字符串当成一个筛选值，根本达不到多值匹配的效果。

下面给你几种可行的解决思路，按推荐程度排序：

方案1：改用表值参数（最推荐，安全又高效） #

这是SQL Server处理多值筛选的标准做法，完全避免SQL注入风险，性能也更好。

步骤如下：

1. 先创建一个用户定义的表类型，用来承载多值筛选条件：

CREATE TYPE dbo.ItemListType AS TABLE (Item VARCHAR(50)); -- 这里的字段类型要和你表中的Item字段类型一致

2. 修改你的存储过程，把原来的@FilterStr换成表值参数：

ALTER PROCEDURE dbo.ItemList
    @FilterItems dbo.ItemListType READONLY -- 表值参数必须加READONLY
AS
BEGIN
    -- 替换成你实际的查询语句，这里只是示例
    SELECT *
    FROM YourTargetTable -- 换成你的表名
    WHERE Item IN (SELECT Item FROM @FilterItems);
END

3. 调用的时候，先声明表变量并插入要筛选的值，再传入存储过程：

DECLARE @Filter dbo.ItemListType;
-- 插入多个筛选值
INSERT INTO @Filter (Item) VALUES ('ABC'), ('DEF'), ('HJK');
-- 执行存储过程
EXEC dbo.ItemList @FilterItems = @Filter;

方案2：修改存储过程用动态SQL（临时过渡可用，注意防注入） #

如果暂时没法用表值参数，也可以改成动态SQL的方式，但一定要注意防范SQL注入风险：

修改后的存储过程：

ALTER PROCEDURE dbo.ItemList
    @FilterStr VARCHAR(MAX)
AS
BEGIN
    DECLARE @SQL NVARCHAR(MAX);
    -- 更安全的写法是用STRING_SPLIT拆分参数，避免直接拼接字符串
    SET @SQL = N'SELECT * FROM YourTargetTable WHERE Item IN (SELECT VALUE FROM STRING_SPLIT(@FilterStr, '',''))';
    -- 用sp_executesql参数化执行，避免注入
    EXEC sp_executesql @SQL, N'@FilterStr VARCHAR(MAX)', @FilterStr;
END

调用的时候直接传逗号分隔的字符串就行，不用加单引号：

EXEC dbo.ItemList 'ABC,DEF,HJK';

如果你的SQL Server版本低于2016（不支持STRING_SPLIT），可以用自定义的字符串拆分函数代替。

方案3：不修改存储过程的临时 workaround（不推荐） #

如果完全不能修改存储过程，那其实这个存储过程的逻辑本身就不支持多值筛选——因为它会把@FilterStr当成单个字符串值来匹配。这种情况下只能用一些不太优雅的临时方法，比如把筛选值拼成一个带通配符的字符串，用CHARINDEX或者LIKE来匹配，但这种方法容易出错，性能也差，还可能匹配到不想要的值，非常不推荐。

总结一下：最好的方式还是改成表值参数，这是最规范、最安全的做法。

内容的提问来源于stack exchange，提问作者YellowLarry