SQL Parameter Problem

Question

Ich habe folgende SQL-Abfrage.

DECLARE @OID NVARCHAR(MAX) = '(98,99,100,101,102,103,104,105)' 

SELECT 
    Name = (SELECT [Name] 
      FROM Point 
      WHERE CAST(OID AS NVARCHAR(10)) = Point), 
    Timestamp, 
    ValueNumeric 
FROM 
    [IngeniousRPM_Bridge].[dbo].[Value] 
WHERE 
    CAST(Point AS NVARCHAR(10)) IN (98,99,100,101,102,103,104,105) 
    AND [Timestamp] BETWEEN '2017-11-01' AND '2017-11-30' 
    AND ValueNumeric IS NOT NULL 

Die obige Abfrage funktioniert gut, wenn @OID hart codiert ist, aber wenn ich versuche, einen @OID Wert zu übergeben, wie unten gezeigt er keinen Wert in der Tabelle zurückgibt. Schließlich muss ich die gespeicherte Prozedur erstellen und @OID Wert übergeben.

DECLARE @OID NVARCHAR(MAX) = '(98,99,100,101,102,103,104,105)' 

SELECT 
    Name = (SELECT [Name] 
      FROM Point 
      WHERE CAST(OID AS NVARCHAR(10)) = Point), 
    Timestamp, 
    ValueNumeric 
FROM 
    [IngeniousRPM_Bridge].[dbo].[Value] 
WHERE 
    CAST(Point AS NVARCHAR(10)) IN (@OID) 
    AND [Timestamp] BETWEEN '2017-11-01' AND '2017-11-30' 
    AND ValueNumeric IS NOT NULL 

Answer 1

Sie müssen wie dieses Ich

SELECT 98 OID, 'Test' OidTest, GETDATE() [TimeStamp] 
INTO #MyTable 

DECLARE @OID nvarchar(MAX)='98,99,100,101,102,103,104,105' 
DECLARE @dyn nvarchar(MAX) 

SELECT @dyn = 'SELECT * FROM #MyTable WHERE OID IN (' + @OID +') and [Timestamp] between ''2017-11-01'' and ''2017-12-30''' 

exec (@dyn) 

Answer 2

etwas tun, kann nicht Kommentare zur Zeit hinzufügen ...

Wenn Sie die Klammer aus dem varchar Zeichenfolge ist Ihre parametrisierte Version entfernen Arbeit? im Wesentlichen sagen Sie "IN ((98,99,100,101,102,103,104,105))", wo ich denke, was Sie wollen, ist "IN (98,99,100,101,102,103,104,105)"?

Ich würde auch nicht verketteten Strings als Vorschlag verwenden, insbesondere wenn Sie eine gespeicherte Prozedur verwenden möchten, die einen @ OID-Wert akzeptiert ... Sie offen für SQL Injection-Schwachstellen. Verwenden Sie stattdessen sp_executesql innerhalb Ihrer gespeicherten Prozedur und übergeben Sie Ihre Parameter. Wenn Sie Ihren Code kopieren, sieht das in etwa so aus:

UPDATE: Die Abfrage wurde aktualisiert, um Datumsparameter einzubeziehen.

declare @OID nvarchar(MAX)='98,99,100,101,102,103,104,105'; 
declare @sql nvarchar(max); 
declare @startDate datetime; 
declare @endDate datetime; 
SET @sql = N' 
      SELECT Name= (select [Name] from Point where CAST(OID AS 
      NVARCHAR(10)) 
      =Point), 
      Timestamp, 
      ValueNumeric 
      FROM [IngeniousRPM_Bridge].[dbo].[Value] where CAST(Point AS 
      NVARCHAR(10)) 
      In (' + @OID + ') and [Timestamp] between @startDateIN and 
      @endDateIN and 
      ValueNumeric is not null'; 
EXEC sp_executesql @sql 
        ,N'@startDateIN datetime, @endDateIN Datetime' 
        ,@startDateIN = @startDate 
        ,@endDateIN = @endDate;