OleDbCommand с «где в» и dbParameter - PullRequest
Новая
       46

OleDbCommand с «где в» и dbParameter

0 голосов
/ 07 января 2019

Я пытаюсь удалить некоторые строки из таблицы в файле базы данных доступа через C #. Эта попытка не удалась без ошибки, что привело меня к выводу, что у меня есть правильный запрос с неверными данными.

Я попытался выяснить, могу ли я запросить данные с помощью оператора select из моего кода, и смогу ли я сузить проблему до параметров.

Заявление должно выглядеть следующим образом 

SELECT * FROM tbIndex where pguid in ('4a651816-e15b-4c6a-85c4-74033ca6c423', '0add7bff-a22f-4238-9c7f-e1ff4ed3c7e2', '742fae8b-2692-4a6f-802c-848fad570696', '5e6b65de-2403-4800-a47d-e57c7bd8e0a6')

Я пробовал два разных способа * (dbCmd2 и dbCmd3) *, из которых работает первый * (dbCmd2) *, но из-за проблем с инъекцией это не мое предпочтительное решение. 

using (OleDbCommand dbCmd2 = new OleDbCommand { Connection = m_Connection })
{
    dbCmd2.CommandText = "SELECT * FROM tbIndex where pguid in ("+pguid+")";
    using (DbDataReader reader = dbCmd2.ExecuteReader())
    {
        List<object[]> readValuesFromIndex = new List<object[]>();
        while (reader.Read())
        {
            //Point reached
            object[] arr = new object[reader.VisibleFieldCount];
            reader.GetValues(arr);
            //...
        }
        reader.Close();
    }

    using (OleDbCommand dbCmd3 = new OleDbCommand { Connection = m_Connection })
    {
        dbCmd3.CommandText = "SELECT * FROM tbIndex where pguid in (@pguid)";
        dbCmd3.Parameters.Add("@pguid", OleDbType.VarChar).Value = pguid;
        using (DbDataReader reader = dbCmd3.ExecuteReader())
        {
            List<object[]> readValuesFromIndex = new List<object[]>();
            while (reader.Read())
            {
                //Point not reached
                object[] arr = new object[reader.VisibleFieldCount];
                reader.GetValues(arr);
                //...
            }
            reader.Close();
        }
    }

Обратите внимание, что pguid установлен на "'4a651816-e15b-4c6a-85c4-74033ca6c423', '0add7bff-a22f-4238-9c7f-e1ff4ed3c7e2', '742fae8b-2692-4a6f-802c-848fad570696', '5e6b65de-2403-4800-a47d-e57c7bd8e0a6'".

Я всегда думал, что второй вариант просто заменит параметр безопасным способом, но, очевидно, это не так.

Мой вопрос: Почему второй вариант не возвращает значений?

1 Ответ

0 голосов
/ 07 января 2019

Параметр всегда имеет значение single .

В предложении in требуется несколько значений, разделенных запятыми.

Вы можете сделать что-то вроде следующего, чтобы передать их как отдельные параметры: 

string[] guids = pguid.Split(',');
string sqlin = "";
int paramno = -1;
foreach (var guid in guids)
{
   parametercount ++;
   sqlin = sqlin + "@Param" + (string)parametercount; + ","
}
dbCmd3.CommandText = "SELECT * FROM tbIndex where pguid in (" + sqlin.Substring(0, sqlin.Length-1) + ")";
for(int i = 0; i <= parametercount; i++){
    dbCmd3.Parameters.Add("@Param" + (string)i, OleDbType.VarChar).Value = guids[i].Replace("'", "");
}
...