VB.NET多行文本框批量订单SQL查询变量配置问题

我来帮你搞定这个多行订单号批量处理的问题！下面是针对你的需求整理的完整解决方案，兼顾效率和安全性：

我们需要解决两个核心问题：从多行文本框提取有效订单号，以及安全地将多个订单号传入SQL查询（彻底避免SQL注入风险），具体步骤和代码如下：

步骤1：处理多行文本框的输入 #

首先把多行文本框里的内容拆分、过滤，得到干净的订单号列表：

' 从多行文本框提取订单号，自动过滤空行和纯空白行
Dim orderNumbers As List(Of String) = txtOrderList.Lines _
    .Where(Function(line) Not String.IsNullOrWhiteSpace(line)) _
    .Select(Function(line) line.Trim()) _
    .ToList()

' 没有有效订单号时提示用户并终止操作
If orderNumbers.Count = 0 Then
    MessageBox.Show("请输入至少一个有效订单号！")
    Return
End If

步骤2：构建安全的参数化SQL查询 #

绝对不要直接把订单号拼进SQL语句里（这是SQL注入的重灾区），我们为每个订单号创建独立参数，动态生成IN子句的占位符：

' 生成参数占位符，比如@Order0, @Order1, @Order2...
Dim parameterPlaceholders As String = String.Join(", ", orderNumbers.Select(Function(num, idx) $"@Order{idx}"))

' 替换成你实际的SQL逻辑（示例是取消订单行的更新语句，按需调整）
Dim sqlQuery As String = $"
    UPDATE YourOrderLinesTable 
    SET IsCancelled = 1 
    WHERE SKU = @SKU 
      AND OrderNumber IN ({parameterPlaceholders})
"

步骤3：执行参数化查询并处理结果 #

把SKU和所有订单号作为参数传入SQL命令，执行数据库操作：

Using conn As New SqlConnection("你的数据库连接字符串")
    conn.Open()
    Using cmd As New SqlCommand(sqlQuery, conn)
        ' 添加SKU参数（假设你仍用单行文本框输入SKU）
        cmd.Parameters.AddWithValue("@SKU", txtSKU.Text.Trim())
        
        ' 逐个添加订单号参数
        For i As Integer = 0 To orderNumbers.Count - 1
            cmd.Parameters.AddWithValue($"@Order{i}", orderNumbers(i))
        Next
        
        ' 如果是查询操作就用ExecuteReader，这里是更新用ExecuteNonQuery
        Dim affectedRows As Integer = cmd.ExecuteNonQuery()
        MessageBox.Show($"成功取消 {affectedRows} 条订单行！")
    End Using
End Using

完整的按钮点击事件代码 #

把以上逻辑整合到你的按钮事件里：

Private Sub btnCancelLines_Click(sender As Object, e As EventArgs) Handles btnCancelLines.Click
    MdiParent = Toolbox
    Try
        ' 1. 处理多行订单号输入
        Dim orderNumbers As List(Of String) = txtOrderList.Lines _
            .Where(Function(line) Not String.IsNullOrWhiteSpace(line)) _
            .Select(Function(line) line.Trim()) _
            .ToList()

        If orderNumbers.Count = 0 Then
            MessageBox.Show("请输入至少一个有效订单号！")
            Return
        End If

        ' 2. 构建参数化SQL语句
        Dim parameterPlaceholders As String = String.Join(", ", orderNumbers.Select(Function(num, idx) $"@Order{idx}"))
        Dim sqlQuery As String = $"
            UPDATE YourOrderLinesTable 
            SET IsCancelled = 1 
            WHERE SKU = @SKU 
              AND OrderNumber IN ({parameterPlaceholders})
        "

        ' 3. 执行数据库操作
        Using conn As New SqlConnection("你的数据库连接字符串")
            conn.Open()
            Using cmd As New SqlCommand(sqlQuery, conn)
                cmd.Parameters.AddWithValue("@SKU", txtSKU.Text.Trim())
                
                For i As Integer = 0 To orderNumbers.Count - 1
                    cmd.Parameters.AddWithValue($"@Order{i}", orderNumbers(i))
                Next
                
                Dim affectedRows As Integer = cmd.ExecuteNonQuery()
                MessageBox.Show($"操作完成，共取消 {affectedRows} 条订单行！")
            End Using
        End Using

    Catch ex As Exception
        MessageBox.Show($"操作失败：{ex.Message}")
    End Try
End Sub

关键提示 #

• 安全第一：参数化查询是必须的，直接拼接字符串会让你的程序暴露在SQL注入攻击下，这是严重的安全漏洞。
• 输入优化：可以额外添加订单号格式验证（比如检查是否为数字），进一步避免无效输入。
• 配置优化：建议把数据库连接字符串放在app.config配置文件中，不要硬编码在代码里，方便后续修改。

内容的提问来源于stack exchange，提问作者Mark Slagle