SQL Server参数化SQL语句中的like和in查询的语法(C#)

sql语句进行 like和in 参数化，按照正常的方式是无法实现的

我们一般的思维是：

Like参数化查询：
string sqlstmt = "select * from users where user_name like '%@word%' or mobile like '%@word%'";
SqlParameter[] Parameters=new SqlParameter[1];
Parameters[0] = new SqlParameter("@word", "123");

In参数化查询：
string sqlstmt = "select * from users where user_id in (@user_ids)";
SqlParameter[] Parameters = new SqlParameter[1];
Parameters[0] = new SqlParameter("@user_ids", "1001,1002,1006");
可是这样放在程序里面是无法执行的，即使不报错，也是搜索不出来结果的。

正确解法如下：

like 参数：
string sqlstmt = "select * from users where user_name like '%'+ @word + '%' or mobile like '%'+ @word + '%'";
SqlParameter[] Parameters=new SqlParameter[1];
Parameters[0] = new SqlParameter("@word", "123");

in 参数
string sqlstmt = "exec('select * from users where user_id in ('+@user_ids+')')";
SqlParameter[] Parameters = new SqlParameter[1];
Parameters[0] = new SqlParameter("@user_ids", "1001,1002,1006");

原理解释：
SQL参数化查询，其实是可以在SQL的IDE（Microsoft SQL Server Management Studio）中测试的。
打开Microsoft SQL Server Management Studio，新建查询，在窗口中写入以下命令：

-- Like参数化查询命令
DECLARE @word VARCHAR(255);
SET @word='123';
SELECT * from users where user_name like '%'+@word+'%' or mobile like '%'+@word+'%';
这就是Like参数化查询的等效命令；

同理，以下是In参数话查询命令：
DECLARE @user_ids VARCHAR(255);
SET @user_ids='1001,1002,1006';
exec('select * from users where user_id in ('+@user_ids+')');

文章参考：
http://blog.csdn.net/changhong009/article/details/7396005

版权声明：本文采用署名-非商业性使用-相同方式共享(CC BY-NC-SA 3.0 CN)国际许可协议进行许可,转载请注明作者及出处。
本文标题：SQL Server参数化SQL语句中的like和in查询的语法(C#)
本文链接：http://www.cnblogs.com/sochishun/p/7001961.html
本文作者：SoChishun (邮箱:14507247#qq.com | 博客:http://www.cnblogs.com/sochishun/)
发表日期：2017年6月13日