Dynamic SQl с хранимой процедурой

Question

Как я могу использовать sp_executesql с динамическими параметрами значения

Я хочу, чтобы сгенерировать значение параметра с помощью петли из разделенных запятых или что-то вроде этого

declare @sql nvarchar(1000), @answer nvarchar(1000) 
set @sql='SELECT TOP 1000 [UserID] 
     ,[DateOfBirth] 
     ,[UserActivityType] 
     ,[FirstName] 
     ,[LastName] 
     ,[Gender] 
    FROM [LogX].[dbo].[UserDetails] where firstname=@name and gender =@gender ' 
    set @values = '"jack","1"' 
    EXEC sp_executesql @sql , N'@name nvarchar(100),@gender tinyint',@values 

пожалуйста знать что может быть более двух параметров Любая идея? спасибо.

Answer 1

попробовать этот

declare @sql nvarchar(1000), @answer nvarchar(1000) 
set @sql='SELECT TOP 1000 [UserID] 
     ,[DateOfBirth] 
     ,[UserActivityType] 
     ,[FirstName] 
     ,[LastName] 
     ,[Gender] 
    FROM [LogX].[dbo].[UserDetails] where firstname='+@name+' and gender ='+@gender 
    set @values = '"jack","1"' 
    EXEC sp_executesql @sql , N'@name nvarchar(100),@gender tinyint',@values 

использование строку concatination для передачи параметров

Answer 2

Вы знаете, что ВСЯ точка sp_executesql это мешает вам делать конкатенации. Вы можете использовать библиотеку, такую ​​как linq, для динамического генерации запросов для вас, которые затем будут использовать sp_Executesql.

Конкатенация строк в SQL-запросах - это ключевой вектор атаки против веб-сайтов и приложений под названием SQL Injection. SQL Injection at wikipedia

Answer 3

Вам нужно будет разобрать строку значений CSV в разные переменные, а затем перейти к sp_executesql - нет никакого пути к этому, когда вы выполняете параметризованный SQL, как и вы (что именно вы должны делать).

В противном случае вы будете пытаться выполнить (ужасную) конкатенацию строк для своего динамического SQL вместо параметрирования, что было бы плохо.