Comment écrire requête SQL Batch dans la procédure

Question

si je veux écrire une procédure comme ci-dessous, est-il un autre moyen que, pour éviter d'utiliser l'instruction SQL concaténer, je ai juste peur, si l'entrée est trop longue, dépasser la limite de max varchar, le code aura gros problème.

Merci

CREATE PROCEDURE UPDATE_ALL_STATUS 
    @IDs varchar(MAX) = null, 
    @status int = null 
AS 
BEGIN 
    IF @IDs is null 
    BEGIN 
     RETURN 
    END 

    DECLARE @SQL VARCHAR(MAX) 

    SET @SQL = 'UPDATE mytable SET status = ' + @status + ' WHERE id in (' + @IDs + ')' 
    EXECUTE @SQL 
END 

Answer 1

au lieu de SQL dynamique (qui est aussi vulnérable à SQL Injection Attacks) et passant dans un VARCHAR (MAX), utilisez Table Valued Parameters:

-- Creates the TVP type - only needed once! 
CREATE TYPE IntegerTableType AS TABLE 
(Identities INT); 
GO 

CREATE PROCEDURE UPDATE_ALL_STATUS 
    @IDs IntegerTableType READONLY, 
    @status int = null 
AS 
BEGIN 

    UPDATE mytable 
    SET status = @status 
    WHERE id IN 
    (SELECT Identities FROM @IDs) 

END 

This MSDN article montre comment appeler ces à partir de votre code .NET.