Блог

В C # я пытаюсь передать DataTable в качестве параметра в оператор SQL. Приведенный ниже код:

 protected virtual void DoDeleteRecords(List<Guid> ids)
{   
    if (ids.Count > 0)
    { 
        DataTable tvp = new DataTable();
        tvp.Columns.Add("Id", typeof(Guid));

        foreach (Guid id in ids)
        {
            DataRow row = tvp.NewRow();
            row["Id"] = id;

            tvp.Rows.Add(row);
        }

        string sql = string.Format("DELETE FROM MyTable WHERE ID IN ({0})", "@IDTable");

        SqlConnection connection = new SqlConnection(CoreSettings.ConnectionString);

        using (connection)
        {
            SqlCommand command = new SqlCommand(sql, connection);
            SqlParameter tvpParam = command.Parameters.AddWithValue("@IDTable", tvp);
            tvpParam.SqlDbType = SqlDbType.Structured;
            tvpParam.TypeName = "dbo.IDList";

            connection.Open();

            command.ExecuteNonQuery();

            connection.Close();
        }
    }
}
 

Однако, когда команда.Вызывается ExecuteNonQuery, я получаю следующую ошибку SQLException:

Необходимо объявить скалярную переменную «@IDTable»

Я понимаю, что эта ошибка обычно связана с пропуском значения параметра, но, насколько я могу судить, у меня это есть.

Кто-нибудь может увидеть, что я делаю не так?

Большое спасибо.

ОБНОВЛЕНИЕ Я изменил вопрос, чтобы удалить дерьмовый код, обогащенный SQL-инъекциями, из моего примера.

Перво-наперво: я понятия не имею, откуда вы получаете tableName and columnName , но если они предоставлены пользователем, то это открыто для SQL-инъекции. По крайней мере, используйте QUOTENAME() , чтобы гарантировать, что фактический код не вводится.

Во-вторых, вы фактически не используете TVP. В имеющемся у вас коде просто говорится IN (@IDTable) , что это не то, как вы используете TVP.

TVP — это просто табличная переменная, и ее следует использовать как любую другую таблицу:

 protected virtual void DoDeleteRecords(List<Guid> ids)
{   
    if (ids.Count == 0)
        return;
    DataTable tvp = new DataTable();
    tvp.Columns.Add("Id", typeof(Guid));

    foreach (Guid id in ids)
        tvp.Rows.Add(id);

    const string sql = @"
DELETE FROM table
WHERE idColumnName IN (SELECT * FROM @IDTable);
";

    using(SqlConnection connection = new SqlConnection(CoreSettings.ConnectionString))
    using(SqlCommand command = new SqlCommand(sql, connection))
    {
        command.Parameters.Add(
            new SqlParameter("@IDTable", SqlDbType.Structured)
        {
            Value = tvp,
            Direction = ParameterDirection.Input,
            TypeName = "dbo.IDList"
        });

        connection.Open();
        command.ExecuteNonQuery();
    }
}