演员在SQL Server查询

Question

我有执行一个SQL查询的问题，下面是我的存储过程

查询

ALTER PROCEDURE ProcName 
(
    @iID VARCHAR(50), 
    @AccountID INT 
) 
AS 
SET NOCOUNT ON 

DECLARE @Sql VARCHAR(MAX) 

SET @Sql = 'DELETE FROM ReferringPhysician WHERE iID IN(' + @iID + ') AND AccountID = '+ @AccountID + '' 
EXEC (@Sql) 

我试图执行这个查询，但它给了我错误因为我正在使用exec()，在这里我在哪里条件下我正在处理string，而在另一种情况下我正在处理int，所以在第二种情况下我得到了铸造错误！我怎么能通过这个？

任何帮助，非常感谢！

感谢

Answer 1

您的查询是容易受到SQL注入。为了避免您遇到的数据类型问题

一种方式是通过在那里你可以不使用EXEC()（more details here）适当的数据类型：

DECLARE @sql NVARCHAR(MAX) = N'DELETE dbo.referringPhysician 
    WHERE iID IN (' + @iID + ') AND AccountID = @AccountID;'; 

EXEC sp_executesql @sql, N'@AccountID INT', @AccountID; 

您可以通过使用表完全保护这从SQL注入评估参数并使用正确类型而不是逗号分隔字符串传入DataTable或其他集合。例如： -

CREATE TYPE dbo.iIDs TABLE(iID INT PRIMARY KEY); 

现在你的存储过程可以完全避免动态SQL：

ALTER PROCEDURE dbo.ProcName -- always use schema prefix! 
    @iIDs dbo.iIDs READONLY, 
    @AccountID INT 
AS 
BEGIN 
    SET NOCOUNT ON; 

    DELETE r 
    FROM dbo.ReferringPhysician AS r 
    INNER JOIN @iIDs AS i 
    ON r.iID = i.iID 
    WHERE r.AccountID = @AccountID; 
END 
GO 

Answer 2

试试这个：

ALTER PROCEDURE ProcName 
(
    @iID VARCHAR(50), 
    @AccountID INT 
) 
AS 
SET NOCOUNT ON 

DECLARE @Sql VARCHAR(MAX) 

SET @Sql = 'DELETE FROM ReferringPhysician WHERE iID IN(' + CAST(@iID AS VARCHAR) + ') AND AccountID = '+ CAST(@AccountID AS VARCHAR) + '' 
EXEC (@Sql)