Блог

Итак, я знаю, как вызвать sp_executeSql с помощью TVP из кода C #. Что означает, что я могу сделать это в Powershell с ADO.Net .

Но мне любопытно, как это сделать с помощью Invoke-Sqlcmd команды? Проблема в том, что значения TVP задаются пользователем, и я хочу избежать любой возможности Sql-инъекции.

В настоящее время у меня есть следующий код:

 $ControlSql = @"
SELECT ClientId,Namespace,DatabaseConnectionString
FROM Namespace n
JOIN DatabaseConnection dc ON n.DatabaseConnectionId = dc.DatabaseConnectionId
WHERE Namespace IN (SELECT Value FROM @Namespaces)
"@
$ControlParams = "'@Namespaces dbo.TableOfString READONLY'"
$ControlQuery = "EXECUTE sp_executesql @stmt = $ControlSql, @params = $ControlParams, @Namespaces = $Namespaces;"
  

@Namespaces = $Namespaces Часть, конечно, неверна. $Namespaces это список значений, предоставленных пользователем. Я понятия не имею, как заполнить @Namespaces TVP из него.

Ну, я делаю, но мне интересно, правильно ли это. Я могу генерировать отдельные INSERT INTO @Namespaces ... инструкции для каждого значения из $Namespaces перед передачей последнего в конечный SELECT запрос.

Итак, если $Namespaces содержит 1000 записей, результирующий sql будет содержать 1000 параметров.

Правильный ли это способ сделать это?

Вы можете передать CSV-файл, содержащий значения, разделенные запятой, и использовать массовую вставку для заполнения параметра табличного значения (TVP ). Sql-код является:

  BULK INSERT @Namespaces 
 FROM 'path_to_Namespaces.txt'  
  WITH   
  (  
     FIELDTERMINATOR =' ,',  
     ROWTERMINATOR =' n'  
  );  
  

Измените свой код, чтобы передать имя файла (вместо передачи TVP)
Таким образом, вы избегаете передачи параметра большого размера.