将nvarchar值转换为数据类型时转换失败int

Question

我在这里做错了什么？

string favorites = "210,213"; 

sqlCommand.CommandText = "select * from clients (nolock) 
    where Deleted = 0 and ClientID in (@favorites)"; 
sqlCommand.Parameters.AddWithValue("@favorites", favorites); 

另一个说明：“210,213”只是一个例子。它可以是任何长度的数字。这就是我使用SQL IN操作符的原因。

谢谢。

Answer 1

这不是参数的工作原理。您实际上试图获得ClientID为的客户端等于'210,213'。那么，这不是一个数字，所以有一个失败。

如果您的IN列表大小是动态变化的，参数化查询和IN子句实际上并不是一起实现的。

阅读这太问题和答案：Parameterize an SQL IN clause

一般情况下，你必须动态地组装您的SQL查询，总是在脑海的问题保持像SQL Injection。

延伸阅读：

• Best practice between these two queries
• Deleting from sqlite database using IN
• problem using Oracle parameters in SELECT IN
• Is it possible to use query parameters to fill the IN keyword

Answer 2

我很确定你将需要用收藏夹字符串生成commandtext。数组中没有内置的sql类型。您可以通过确保从整数列表中生成收藏夹来保护自己免受sql攻击。