替代执行动态sql

Question

我目前有一个对应于业务对象的“过滤器”对象。此对象具有与我希望能够过滤/搜索此类业务对象列表的不同方式有关的属性。目前，这些Filter对象有一个方法，它构建一个where子句的内容，然后将其传递给SQL Server 2000存储过程，并与select查询的其余部分进行联合。然后使用Exec执行最后一个字符串。

目前除了我担心与缺乏执行计划缓存的性能问题能正常工作。在一些研究中我看到了使用调用sp_executesql;这是一个更好的解决方案还是有更好的约定为我在做什么？

更新：我认为使用sp_executesql的问题的一部分是基于我的过滤器中的集合，我需要生成一个OR语句列表。我不确定'参数化'查询是否是我的解决方案。

例如

var whereClause = new StringBuilder(); 
    if (Status.Count > 0) 
    { 
     whereClause.Append("("); 
     foreach (OrderStatus item in Status) 
     { 
      whereClause.AppendFormat("Orders.Status = {0} OR ", (int)item); 
     }   

     whereClause.Remove(whereClause.Length - 4, 3); 
     whereClause.Append(") AND "); 
    } 

Answer 1

现代RDBMS'es（真的不能说是否考虑SQL Server 2000中的“现代”的一个）是ad-hoc查询优化，所以有一个可以忽略不计的性能损失（如果任何）。有什么困扰我的是你使用sproc来构建动态SQL：这是一个庞大的调试/支持PITA。

Answer 2

你应该使用sp_executesql，原因很简单，就像你说的，查询计划存储和未来的执行将被优化。它通常也似乎比执行更好地处理动态SQL。

Answer 3

sp_executesql的是不是因为计划重用的高管更好，你可以使用帮助抵御SQL injection的参数。 sp_executesql的也不会导致程序缓存膨胀，如果正确使用

看看这两篇文章

Avoid Conversions In Execution Plans By Using sp_executesql Instead of Exec

Changing exec to sp_executesql doesn't provide any benefit if you are not using parameters correctly

Answer 4

是，sp_executesql的将“缓存”的执行查询的计划它执行。

另一方面，不是通过区域查询的存储过程，构建完整的查询存在，并执行动态SQL，你可以建立在.NET上侧整个查询和使用ADO.NET命令对象执行。所有通过ADO.NET执行的查询都默认为“缓存”。

Answer 5

sp_executesql的是更好的选择。你有没有考虑过不使用存储过程，或至少拿出一些动力？我认为从任何一种注射都会更安全。我写的过滤器很像你正在谈论的，但我试图照顾我的代码中的输入，而不是在存储过程中。我非常喜欢动态的sql，但有时候更加安全。