.NET Core中如何为WHERE IN子句传入字符串列表参数？

嘿，我完全懂你踩过的这个坑——用String.Join("','", myList)拼接出来的字符串看似格式没问题，但数据库就是查不到结果，这是因为你把整个拼接后的字符串当成了单个参数值，数据库实际执行的是类似WHERE Column IN ('a,b,c')而不是WHERE Column IN ('a','b','c')，自然匹配不到数据。而且这种写法还存在SQL注入风险，绝对不推荐。

下面给你几个安全且有效的解决方案：

1. 用EF Core的Contains方法（最推荐） #

如果你用的是Entity Framework Core，直接用Contains方法就可以了，EF会自动帮你生成参数化的WHERE IN查询：

// 假设你的字符串列表
var idList = new List<string> { "PROD001", "PROD002", "PROD003" };

// EF Core会自动转换为参数化的WHERE IN子句
var matchedProducts = _context.Products
    .Where(p => idList.Contains(p.ProductId))
    .ToList();

这种方式既简洁又安全，数据库能正确识别每个列表项作为独立参数，还能避免SQL注入。

2. 用Dapper处理列表参数 #

如果项目里用的是Dapper，直接把列表作为参数传入即可，Dapper会自动处理参数化：

var nameList = new List<string> { "Alice", "Bob", "Charlie" };
var sql = "SELECT * FROM Users WHERE UserName IN @Names";

// Dapper会自动将列表转换为多个参数
var users = connection.Query<User>(sql, new { Names = nameList });

3. 原始ADO.NET手动参数化（适合底层场景） #

如果必须用原始ADO.NET写SQL，要手动为每个列表项创建独立参数，避免直接拼接字符串：

var tagList = new List<string> { "C#", ".NET", "EF Core" };
var parameters = new List<SqlParameter>();

// 生成带参数占位符的IN子句，比如@Param0, @Param1, @Param2
var placeholders = string.Join(", ", tagList.Select((_, idx) => $"@Param{idx}"));
var sql = $"SELECT * FROM Articles WHERE Tag IN ({placeholders})";

// 给每个占位符添加对应参数
for (int i = 0; i < tagList.Count; i++)
{
    parameters.Add(new SqlParameter($"@Param{i}", tagList[i]));
}

// 执行查询
using (var cmd = new SqlCommand(sql, yourSqlConnection))
{
    cmd.Parameters.AddRange(parameters.ToArray());
    using (var reader = cmd.ExecuteReader())
    {
        // 处理查询结果...
    }
}

为什么你之前的方法不行？ #

当你用String.Join拼接后直接拼入SQL，或者把拼接后的字符串作为单个参数传入时，数据库会把整个字符串当成一个值。比如你拼接出'a','b','c'，如果作为参数传入，SQL实际执行的是WHERE Column IN (@Param)，而@Param的值是'a','b','c'，相当于找Column等于这个完整字符串的记录，自然查不到。

内容的提问来源于stack exchange，提问作者MohammedT