SQL IN 子句參數化查詢：字符串分割與表值參數

問題

動態構建 WHERE id IN (...) 時，直接拼接字符串存在注入風險且無法參數化。如何安全高效傳遞列表參數？

方案對比

最佳實踐：表值參數 (TVP) 完整示例

1. 數據庫創建類型

CREATE TYPE dbo.IdList AS TABLE (Id INT PRIMARY KEY);

2. 存儲過程 / 參數化查詢

CREATE PROC GetOrders @Ids IdList READONLY
AS
SELECT * FROM Orders WHERE OrderId IN (SELECT Id FROM @Ids);

3. C# 調用

var ids = new[] { 1001, 1002, 1003 };
var dt = new DataTable();
dt.Columns.Add("Id", typeof(int));
foreach (var id in ids) dt.Rows.Add(id);

using (var cmd = new SqlCommand("GetOrders", conn) { CommandType = CommandType.StoredProcedure }) {
    var param = cmd.Parameters.AddWithValue("@Ids", dt);
    param.SqlDbType = SqlDbType.Structured;
    param.TypeName = "dbo.IdList";
    using (var reader = cmd.ExecuteReader()) { /* ... */ }
}

簡易替代：STRING_SPLIT (SQL Server 2016+)

-- 僅適合臨時/小數據量
DECLARE @csv NVARCHAR(MAX) = '1001,1002,1003';
SELECT * FROM Orders 
WHERE OrderId IN (SELECT CAST(value AS INT) FROM STRING_SPLIT(@csv, ','));

C# 傳入逗號分隔字符串即可，但**無法利用索引求值**，大表慎用。

JSON 方案 (SQL Server 2016+)

DECLARE @json NVARCHAR(MAX) = '[1001,1002,1003]';
SELECT * FROM Orders 
WHERE OrderId IN (SELECT [value] FROM OPENJSON(@json));

選型建議

• **企業級應用、高併發、大列表** → 必選 TVP。
• **內部工具、小列表、快速開發** → STRING_SPLIT 或 JSON。
• **禁止拼接 SQL 字符串**，無論列表多短。