演員在SQL Server查詢

Question

我有執行一個SQL查詢的問題，下面是我的存儲過程

查詢

ALTER PROCEDURE ProcName 
(
    @iID VARCHAR(50), 
    @AccountID INT 
) 
AS 
SET NOCOUNT ON 

DECLARE @Sql VARCHAR(MAX) 

SET @Sql = 'DELETE FROM ReferringPhysician WHERE iID IN(' + @iID + ') AND AccountID = '+ @AccountID + '' 
EXEC (@Sql) 

我試圖執行這個查詢，但它給了我錯誤因爲我正在使用exec()，在這裏我在哪裏條件下我正在處理string，而在另一種情況下我正在處理int，所以在第二種情況下我得到了鑄造錯誤！我怎麼能通過這個？

任何幫助，非常感謝！

感謝

Answer 1

您的查詢是容易受到SQL注入。爲了避免您遇到的數據類型問題

一種方式是通過在那裏你可以不使用EXEC()（more details here）適當的數據類型：

DECLARE @sql NVARCHAR(MAX) = N'DELETE dbo.referringPhysician 
    WHERE iID IN (' + @iID + ') AND AccountID = @AccountID;'; 

EXEC sp_executesql @sql, N'@AccountID INT', @AccountID; 

您可以通過使用表完全保護這從SQL注入評估參數並使用正確類型而不是逗號分隔字符串傳入DataTable或其他集合。例如： -

CREATE TYPE dbo.iIDs TABLE(iID INT PRIMARY KEY); 

現在你的存儲過程可以完全避免動態SQL：

ALTER PROCEDURE dbo.ProcName -- always use schema prefix! 
    @iIDs dbo.iIDs READONLY, 
    @AccountID INT 
AS 
BEGIN 
    SET NOCOUNT ON; 

    DELETE r 
    FROM dbo.ReferringPhysician AS r 
    INNER JOIN @iIDs AS i 
    ON r.iID = i.iID 
    WHERE r.AccountID = @AccountID; 
END 
GO 

Answer 2

試試這個：

ALTER PROCEDURE ProcName 
(
    @iID VARCHAR(50), 
    @AccountID INT 
) 
AS 
SET NOCOUNT ON 

DECLARE @Sql VARCHAR(MAX) 

SET @Sql = 'DELETE FROM ReferringPhysician WHERE iID IN(' + CAST(@iID AS VARCHAR) + ') AND AccountID = '+ CAST(@AccountID AS VARCHAR) + '' 
EXEC (@Sql)