evgenybe

Дополнительный вопрос.
Мне нужно составить SQL Statement в StoredProcedure. Наподобие выше описанного, у меня заранее не известны ИмяТаблицы, ИменаПолей и Выражение WHERE. дополнительная проблема в том, что в WHERE задается поле типа Varchar равное параметру, значение которого может в некоторых случаях содержать одинарную или двойную кавычку.
Как я могу учесть это, чтобы не получить ошибку?

Alexey Spirin

Не понял, четсно говоря, в чем именно проблема.
Однако, по всей видимости вопрос в том, как вставляются одинаковые кавычки в строки. Их просто достаточно удвоить. Т.е. следующий пример будет работать:
Т.е. </P><FONT color=#0000ff size=2>
DECLARE<FONT color=#000000 size=2> @Where <FONT color=#0000ff size=2>varchar<FONT color=#808080 size=2>(<FONT color=#000000 size=2>50<FONT color=#808080 size=2>),<FONT color=#000000 size=2> @SQL <FONT color=#0000ff size=2>varchar<FONT color=#808080 size=2>(<FONT color=#000000 size=2>255<FONT color=#808080 size=2>)</P><FONT color=#0000ff size=2>
SET<FONT color=#000000 size=2> @Where<FONT color=#808080 size=2>=<FONT color=#ff0000 size=2>'Name like ''A%'''</P><FONT color=#0000ff size=2>
SET<FONT color=#000000 size=2> @SQL <FONT color=#808080 size=2>=<FONT color=#000000 size=2> <FONT color=#ff0000 size=2>'SELECT * FROM Users '<FONT color=#000000 size=2> <FONT color=#808080 size=2>+<FONT size=2><FONT color=#000000> @Where</P><FONT color=#0000ff size=2>
PRINT<FONT size=2><FONT color=#000000> @SQL
<FONT size=2><FONT color=#000000>Получим <FONT size=1>SELECT * FROM Users Name like 'A%'
<FONT size=2><FONT color=#000000><FONT size=1>---
<FONT size=2><FONT color=#000000><FONT size=1>PS: Не забывайте про SQL Injection атаки.</P>

bazile

Передавать эту строку в качестве параметра для http://msdn2.microsoft.com/en-us/library/ms188001.aspx sp_executesql или вручную удваивать одинарные кавычки внутри строки. Способ с использованием параметров является предпочтительным.

evgenybe

Предположим, что некий параметр @WhereValue = " My N' = 12345 ". То есть одиночная (или двойная) кавычка может находиться в неизвестном месте стринга. Может вначале, может в середине, может в конце... А может и вообще отсутствовать. Изначально это неизвестно.
Теперь я составляю strSQL = 'SELECT ' + @Field1 + ',' + @Field2 + ' FROM ' + @TableName ' + WHERE ' + @Field1 = '' + @ WhereValue + ''
И затем исполняю его.
Вопрос:
Как правильно составить в таком случае strSQL?

bazile

SET @strSQL = 'SELECT ' + @Field1 + ',' + @Field2 + ' FROM ' + @TableName ' + WHERE ' + @Field1 = @Field1Condition'
exec sp_executesql @strSQL, N'@Field1Condition varchar(100)', @Field1Condition=@WhereValue

evgenybe

Вот моя процедура:</P>
ALTER PROCEDURE <FONT color=#000000>dbo.spGetValue
(
@TableName nVarchar(50),
@FieldValue nVarchar(50),
@FieldText nVarchar(50),
@WhereValue nVarChar(50)
)</P>
AS</P>
declare @sSQL nvarchar;
SET @sSQL = 'SELECT ' + @FieldValue +
' FROM ' + @TableName
+ ' WHERE ' + @FieldText + ' = ' + @WhereValue +
' ORDER BY ' + @FieldText
exec sp_executesql @sSQL, N'@WhereValue nvarchar(100)', @WhereValue=@WhereValue
RETURN
Однако я получаю следующее исключение:</P><FONT size=1>
Line 1: Incorrect syntax near 'S'.
No rows affected.
(0 row(s) returned)
@RETURN_VALUE = 0
Finished running dbo."spGetValue".</P>

bazile

А длину у nvarchar для переменной @sSQL кто объявлять будет? По умолчанию будет тип nvarchar(1) и в итоге запрос сокращается до одной буквы S. Откуда и ошибка про Incorrect syntax near 'S'

Alexey Spirin

Чтобы таких проблем не возникало - делай PRINT перед EXEC'ом - сразу все стало бы ясно.

evgenybe

bazile, ты абсолютно прав. Я исправил, и кое что переделал. Теперь ошибок не дает, но и не возвращает ничего. Вот новый код:</P>
ALTER PROCEDURE <FONT color=#000000>dbo.spGetValue
(
@TableName nVarchar(50),
@FieldValue nVarchar(50),
@FieldText nVarchar(50),
@WhereValue nVarChar(50)
)</P>
AS</P>
declare @sSQL nvarchar(400);
Declare @Turn nvarchar(50);
SET @sSQL = 'SELECT @Turn = ' + @FieldValue +
' FROM ' + @TableName
+ ' WHERE ' + @FieldText + ' = '' + @WhereValue +
'' ORDER BY ' + @FieldText
exec sp_executesql @sSQL, N'@Turn nvarchar(100) out', @Turn=@Turn out
SELECT @Turn
RETURN </P>

bazile

Ты забыл про параметр @WhereValue
exec sp_executesql @sSQL, N'@WhereValue nvarchar(100), @Turn nvarchar(100) out', @WhereValue=@WhereValue, @Turn=@Turn out