C#调用SQL Server时动态参数查询问题：IN子句参数化实现求助

嘿，我明白你遇到的问题了——在SSMS里直接写IN ('all', 'nj', 'sk2')没问题，但到C#里想用参数化实现就卡壳了对吧？原来的LIKE (@groups)写法完全不对路，因为它只会把整个空格分隔的字符串当成一个匹配项去模糊匹配groups字段，根本不会拆分出多个值做IN判断。我给你几个靠谱的参数化解决方案，都是安全又有效的，还能避免SQL注入风险：

如果你的SQL Server版本够新，STRING_SPLIT是最简单的方案，它能直接把空格分隔的字符串拆分成单个值的集合，然后配合IN子句使用。还可以加个过滤条件去掉可能的空字符串（比如连续空格产生的空值）：

// 假设你的Groups属性值是这个字符串
var groupsInput = "all nj sk2";

// 构建参数化查询语句
var query = @"SELECT * FROM Hours 
              WHERE class_id = @class_id 
              AND groups IN (
                  SELECT value FROM STRING_SPLIT(@groups, ' ') 
                  WHERE value <> '' -- 过滤空字符串
              )";

using (var cmd = new SqlCommand(query, conn))
{
    // 添加参数
    cmd.Parameters.AddWithValue("@class_id", User.Current.ClassId);
    cmd.Parameters.AddWithValue("@groups", groupsInput);

    // 执行查询并处理结果
    using (var reader = cmd.ExecuteReader())
    {
        while (reader.Read())
        {
            // 读取每行数据的逻辑
        }
    }
}

如果你的SQL Server版本低于2016，没有STRING_SPLIT，可以在C#里先把字符串拆分成数组，然后动态生成参数名，逐个添加到SqlCommand里——这种方式依然是完全参数化的，不会有SQL注入风险：

var groupsArray = "all nj sk2".Split(new[] {' '}, StringSplitOptions.RemoveEmptyEntries);
// 生成每个值对应的参数名，比如@group0, @group1...
var parameterNames = groupsArray.Select((_, index) => $"@group{index}").ToList();

// 构建带动态参数列表的查询语句
var query = $"SELECT * FROM Hours 
              WHERE class_id = @class_id 
              AND groups IN ({string.Join(", ", parameterNames)})";

using (var cmd = new SqlCommand(query, conn))
{
    cmd.Parameters.AddWithValue("@class_id", User.Current.ClassId);
    
    // 逐个添加groups参数
    for (int i = 0; i < groupsArray.Length; i++)
    {
        cmd.Parameters.AddWithValue(parameterNames[i], groupsArray[i]);
    }

    // 执行查询
    using (var reader = cmd.ExecuteReader())
    {
        // 处理结果逻辑
    }
}

如果你的业务场景需要多次传递这类字符串列表，或者要传递更复杂的数据结构，可以用SQL Server的表值参数（TVP）。首先得在SQL Server里创建一个自定义表类型：

-- 在SSMS里执行一次这个语句创建类型
CREATE TYPE dbo.StringList AS TABLE (Value NVARCHAR(50))

然后在C#里把拆分后的groups值放到DataTable里，作为参数传递：

var groupsArray = "all nj sk2".Split(new[] {' '}, StringSplitOptions.RemoveEmptyEntries);
// 创建对应表类型的DataTable
var groupsTable = new DataTable();
groupsTable.Columns.Add("Value", typeof(string));
foreach (var group in groupsArray)
{
    groupsTable.Rows.Add(group);
}

var query = @"SELECT * FROM Hours 
              WHERE class_id = @class_id 
              AND groups IN (SELECT Value FROM @groupsTable)";

using (var cmd = new SqlCommand(query, conn))
{
    cmd.Parameters.AddWithValue("@class_id", User.Current.ClassId);
    
    // 添加表值参数
    var tvpParam = cmd.Parameters.AddWithValue("@groupsTable", groupsTable);
    tvpParam.SqlDbType = SqlDbType.Structured;
    tvpParam.TypeName = "dbo.StringList"; // 指定自定义表类型的名称

    // 执行查询
    using (var reader = cmd.ExecuteReader())
    {
        // 处理结果逻辑
    }
}

这三种方法都能完美实现你要的效果，而且都是严格的参数化查询，比直接拼接字符串安全多了。优先推荐方法1，最简洁；如果版本受限就用方法2；复杂场景选方法3。

内容的提问来源于stack exchange，提问作者Daniel Suchan