C# Parameterized Query MySQL con clausola `in`

Question

Sono in procinto di convertire diverse query che sono state codificate nell'applicazione e create al volo su query parametrizzate. Ho problemi con una sola query particolare, che ha un in clausola:

UPDATE TABLE_1 SET STATUS = 4 WHERE ID IN (1, 14, 145, 43); 

Il primo parametro è facile, in quanto è solo un parametro normale:

MySqlCommand m = new MySqlCommand("UPDATE TABLE_1 SET STATUS = ? WHERE ID IN (?);"); 
m.Parameters.Add(new MySqlParameter("", 2)); 

Tuttavia, il secondo parametro è un elenco di numeri interi che rappresentano gli ID delle righe che devono essere aggiornati. Come posso passare un elenco di numeri interi per un singolo parametro? In alternativa, come procederesti nell'impostare questa query in modo da non doverla creare completamente ogni volta che la chiami e impedire attacchi di SQL injection?

Answer 1

Si potrebbe costruire la query parametrizzata "on the fly" in base al numero (presumibilmente) variabile di parametri, e iterare che di passarli in

Quindi, qualcosa come:.

List foo; // assuming you have a List of items, in reality, it may be a List<int> or a List<myObject> with an id property, etc. 

StringBuilder query = new StringBuilder("UPDATE TABLE_1 SET STATUS = ? WHERE ID IN (?") 
for(int i = 1; i++; i < foo.Count) 
{ // Bit naive 
    query.Append(", ?"); 
} 

query.Append(");"); 

MySqlCommand m = new MySqlCommand(query.ToString()); 
for(int i = 1; i++; i < foo.Count) 
{ 
    m.Parameters.Add(new MySqlParameter(...)); 
} 

Answer 2

Non è possibile utilizzare i parametri per una clausola IN.

Answer 3

Suggerirei di creare una funzione (presupponendo che mysql supporti le funzioni definite dall'utente) per dividere il parametro a parte per restituire una tabella.

Answer 4

Fai scorrere l'elenco di numeri interi ed esegui singoli aggiornamenti.

MSSQL 2008 offre parametri con valori di tabella per evitare questo problema, non sono a conoscenza di alcuna funzionalità simile in MySQL.

Answer 5

Questo non è possibile in MySQL. È possibile creare un numero di parametri richiesto e fare UPDATE ... IN (?,?,?,?). Ciò impedisce attacchi di iniezione (ma richiede comunque di ricostruire la query per ogni numero di parametri).

Un altro modo è passare una stringa separata da virgole e analizzarla.

Answer 6

vecchia questione, ma nel caso qualcuno si imbatte in questo tramite Google, ecco quello che io uso:

int status = 4; 
string ids = "1,14,145,43";  

m.Parameters.AddWithValue("@Status", status); 
m.Parameters.AddWithValue("@IDs", ids); 

UPDATE TABLE_1 SET STATUS = @Status WHERE FIND_IN_SET(ID, @IDs) > 0; 

Nota: FIND_IN_SET è una funzione specifica mySQL.

di credito, che è di Cesare: Vedere questa domanda: Add List<int> to a mysql parameter