编写动态SQL查询

我在尝试创建相当简单的动态SQL查询时遇到了问题。当我PRINT @SQLString时，变量不显示它们包含的值。有任何想法吗？编写动态SQL查询

ALTER PROCEDURE [dbo].[usp_ItemSearch] 
    @ItemNum varchar(30) = NULL 
    ,@SearchFilter int 
    ,@VendorNum varchar(10) = NULL 
    ,@RecUserID int = NULL 
    ,@StartDate smalldatetime = NULL 
    ,@EndDate smalldatetime = NULL 
AS 
DECLARE @SQLString as varchar(1000) 

SET @SQLString = 'SELECT RecID, VendorNum, VendorName, PORelNum, InvoiceNum, ItemNum, RecAddDate, LastUpdated FROM tbl_Processor_ItemDscLog' 

IF @ItemNum IS NOT NULL 
    BEGIN 
     IF @SearchFilter = 2 
      BEGIN 
       SET @SQLString = @SQLString + ' WHERE ItemNum LIKE ''%' + @ItemNum + '''' --Ends with 
      END 
     IF @SearchFilter = 1 
      BEGIN 
       SET @SQLString = @SQLString + ' WHERE ItemNum LIKE ''%' + @ItemNum + '%''' --Contains 
      END 
     IF @SearchFilter = 0 
      BEGIN 
       SET @SQLString = @SQLString + ' WHERE ItemNum LIKE ''' + @ItemNum + '%''' --Starts with 
      END 
    END 

IF @VendorNum IS NOT NULL 
    BEGIN 
     SET @SQLString = @SQLString + ' WHERE VendorNum = ''' + @VendorNum + '''' 
    END 

IF @RecSearchUserID IS NOT NULL 
    BEGIN 
     SET @SQLString = @SQLString + ' AND (RecAddUserID = @RecUserID)' 
    END 

IF (@EndDate IS NOT NULL) 
    BEGIN 
     IF (@StartDate IS NOT NULL) 
      BEGIN 
       SET @SQLString = @SQLString + ' WHERE RecAddDate between @StartDate AND @EndDate ' 
      END 
     ELSE 
      BEGIN 
       SET @SQLString = @SQLString + ' RecAddDate BETWEEN 01/01/1996 AND @EndDate + ' 
      END 
    END 

SET @SQLString = @SQLString + ' ORDER BY ItemNum, VendorNum' 
PRINT @SQLString

来源

2010-06-23 Frank

您的'PRINT @ SQLString'在存储过程中吗？（我看不到它） – 2010-06-23 03:01:02

是的。我刚编辑了代码。感谢那。 – Frank 2010-06-23 03:03:49

为什么要避免在T-SQL中执行动态SQL有充分的理由。例如，如果'@ ItemNum'是'O'Malley'，会发生什么？一般来说，不要这样做动态SQL。作为参数化查询在中间层组件中执行。 – Thomas 2010-06-23 03:04:15

您正在向@SQLString中正确添加@ItemNum和@VendorNum，但未正确添加其他3个变量。你必须将它们转换为varchar，并将它们连接到@SQLString，就像你在做其他的一样。

例如，这里的@RecSearchUserID块应该是什么样子：

IF @RecSearchUserID IS NOT NULL 
    BEGIN 
     SET @SQLString = @SQLString + ' AND (RecAddUserID = ' + CAST(@RecUserID AS VarChar) + ')' 
    END

另外，你千万要小心，包含撇号的输入变量为其他评论者，以防止SQL人士指出注入...

来源

2010-06-23 03:05:45 David

编写动态SQL查询

回答

相关问题