如何使用表变量设置 ExecuteSqlCommand

Question

我有一个想通过 C# 应用程序运行的查询。在应用程序之外没有执行此操作的选项。我有以下代码：

var keyGroupsToCleanUp = new List<string>
{
    "Address",
    "Manufacturer",
    "Product",
    "Customer",
    "Picture",
    "Category",
    "Vendor",
    "SS_A_Attachment",
    "SS_A_AttachmentDownload",
    "SS_MAP_EntityMapping",
    "SS_MAP_EntityWidgetMapping",
};

foreach (var keyGroup in keyGroupsToCleanUp)
{
    _databaseFacade.ExecuteSqlCommand($@"
    DELETE
    FROM GenericAttribute
    WHERE KeyGroup = {keyGroup} AND [Key] = 'CommonId'
    AND EntityId NOT IN (SELECT Id FROM [{keyGroup}]);
    ");
}

我想遍历列表中的每个名称并为每个名称运行以下查询。当我尝试这样做时，我收到以下错误：

System.Data.SqlClient.SqlException (0x80131904): Invalid object name '@p1'.

从网上查到的，这是因为表名不能是字符串。您必须声明一个变量并将此变量用作表名。我了解到一个 Table 变量有需要声明的列，我感到一阵恐惧冲刷着我。这些表都没有相同的列结构。

我正在尝试做的事情可能吗？如果是这样，我该怎么做？

---

GenericAttributes 表是一个包含六列的大表。

当我加入正在使用它的项目时，它已经被使用到无法替代的地步。通过将 KeyGroup 指定为数据库表，您可以在此处保存数据库表的其他数据。我们有一个名为“地址”的表，我们在 GenericAttributes 表中为地址保存了额外的数据（我知道这没有意义）。这会导致很多问题，因为关系数据库不适用于此。我在上面编写的查询在 GenericAttributes 表中查找现在已分离的行。例如，EntityId 0 在 Address 中不作为 Id 存在，因此将在此处返回。然后必须删除该行，因为它链接到一个不存在的 entityId。

这是一个可以实现这一目标的查询示例：

// Address
_databaseFacade.ExecuteSqlCommand(@"
DELETE
FROM GenericAttribute
WHERE KeyGroup = 'Address' AND [Key] = 'CommonId'
AND EntityId NOT IN (SELECT Id FROM [Address]);
");

我必须为 11 个表执行此操作，所以我想让它更容易执行。每个查询都以相同的方式编写。唯一改变的是 KeyGroup 和它要查找的表。它们都将始终具有相同的名称。

这是另一个产品调用的示例。它们是相同的，唯一的区别是NOT IN语句中的KeyGroup和Table。

// Product
_databaseFacade.ExecuteSqlCommand(@"
DELETE
FROM GenericAttribute
WHERE KeyGroup = 'Product' AND [Key] = 'CommonId'
AND EntityId NOT IN (SELECT Id FROM Product);
");

Answer 1

为确保不存在注入漏洞，可以使用QUOTENAME动态SQL

_databaseFacade.ExecuteSqlRaw(@"
DECLARE @sql nvarchar(max) = N'
    DELETE
    FROM GenericAttribute
    WHERE KeyGroup = @keyGroup AND [Key] = ''CommonId''
    AND EntityId NOT IN (SELECT Id FROM ' + {0} + ');
';

EXEC sp_executesql @sql,
    N'@keyGroup nvarchar(100)',
    @keyGroup = {0};
    ", keyGroup);

注意ExecuteSqlRaw 将如何插入字符串。 不要自己用$插入它

Answer 2

猜测，您使用的是 Entity Framework Core。 ExecuteSqlCommand 方法接受FormattableString，并将任何占位符转换为命令参数。但是您的占位符似乎是列/表名称，不能作为参数传递。

由于还有一个接受 string 的重载，它具有不同的行为，因此此方法已被标记为过时，并由 ExecuteSqlInterpolated 和 ExecuteSqlRaw 取代。

假设您的任何价值观都不会受到用户的影响，并且您很高兴您不打算介绍a SQL Injection vulnerability，您可以改用ExecuteSqlRaw：

_databaseFacade.ExecuteSqlRaw($@"
    DELETE
    FROM GenericAttribute
    WHERE KeyGroup = [{keyGroup}] AND [Key] = 'CommonId'
    AND EntityId NOT IN (SELECT Id FROM [{keyGroup}]);
    ");

Answer 3

尝试以下操作：

foreach (var keyGroup in keyGroupsToCleanUp)
{
    var sql = @"DELETE FROM GenericAttribute
                WHERE KeyGroup = @Group
                AND [Key] = 'CommonId'
                AND EntityId NOT IN (SELECT Id FROM @Group)"; // Or [@Group], depends on schema

    _databaseFacade.ExecuteSqlCommand(
        sql,
        new SqlParameter("@Group", keyGroup));

此代码假定您的外观中的 ExecuteSqlCommand 遵循标准的 Microsoft 模式（与 Microsoft 的相同覆盖）。