1

Estoy lanzando desde un servicio en .NET una consulta a SQL Server para que me devuelva los detalles de una tabla pasandole una lista de identificadores. He llegado a una soluciona "muy sucia" a mi ver... aunque por lo visto mientras funcione sirve. Me gustaría saber si hay alguna forma mas elegante y sin que sea tan feo hacerlo.

C#

public GetAccountsResponseDto GetAccounts(GetAccountsRequest request)
    {
        List<SqlParameter> parameters = new List<SqlParameter>();
        string listSql = string.Empty;

        try
        {
            foreach (string numero in request.Numeros)
            {
                listSql += "'" + numero.ToString() + "',";
            }

            parameters.Add(_sql.CreateParameter("@numeros", listSql.Substring(0, listSql.Length - 1), System.Data.SqlDbType.VarChar));
            var table = _sql.GetDataTable("sp_Select_AccountsBalance", System.Data.CommandType.StoredProcedure, parameters.ToArray());

            return new GetAccountsResponseDto()
            {
                Results = MapperHelper<Balance>.Map(table).ToList()
            };

        }
        catch (DbException ex)
        {
            //TODO AUDIT                
        }
        return null;

    }

SQL

ALTER PROCEDURE [dbo].[sp_Select_AccountsBalance]
@numeros varchar(max) = null,
@CONSULTA as nvarchar(max) = null
AS
BEGIN   
SET NOCOUNT ON;
SET @CONSULTA = 'SELECT InstanceId,Numero,Saldo,Disponible,Nombre as 
Tipo,Fecha,EsCredito,RiesgoAsignado,SaldoRetenido 
    FROM Cuenta JOIN TipoCuenta ON Cuenta.TipoCuenta = TipoCuenta.Id
    WHERE Numero IN (' + @numeros + ') order by Numero'
EXECUTE SP_EXECUTESQL  @CONSULTA
END

4 respuestas 4

4

Si necesitas pasar una lista puedes definir el parametro como Table-Valued Parameters

Parámetros con valores de tabla

Entonces pasas el array como si fuera una tabla, es mas en la query del procedure puedes usar el INNER JOIN que es mejor al IN que estas implementando

Creas un tipo

CREATE TYPE dbo.CuentaTableType AS TABLE  
    ( Numero int) 

Luego el procedure usarias

ALTER PROCEDURE [dbo].[sp_Select_AccountsBalance]
    @tvpCuentaNumero dbo.CuentaTableType READONLY
AS
BEGIN   

    SELECT InstanceId,Numero,Saldo,
            Disponible,Nombre as Tipo,
            Fecha,EsCredito,
            RiesgoAsignado,SaldoRetenido 
        FROM Cuenta C
        INNER JOIN TipoCuenta TC ON C.TipoCuenta = TC.Id
        INNER JOIN @tvpCuentaNumero CN ON CN.Numero = C.Numero

END

En el codigo .net quedaria

public GetAccountsResponseDto GetAccounts(GetAccountsRequest request)
{
    DataTable dtParam = new DataTable();
    dtParam.Columns.Add("Numero", typeof(int));

    foreach (string numero in request.Numeros)
    {
        var row = dt.NewRow();
        row["Numero"] = Convert.ToInt32(numero);
        dtParam.Rows.Add(row);
    }

    SqlCommand cmd = new SqlCommand("sp_Select_AccountsBalance", connection);  
    cmd.CommandType = CommandType.StoredProcedure;  
    SqlParameter tvpParam = cmd.Parameters.AddWithValue("@tvpCuentaNumero", dtParam);  
    tvpParam.SqlDbType = SqlDbType.Structured;  

    SqlDataAdapter da = new SqlDataAdapter(cmd);
    DataTable dtResult = new DataTable();
    da.Fill(dtResult);

    return new GetAccountsResponseDto()
    {
        Results = MapperHelper<Balance>.Map(dtResult).ToList()
    };

}

Fijate como se define el parametro con SqlDbType = SqlDbType.Structured

NUNCA defines un try..catch en el codigo vacio, es una pesima practica de programacion

1
  • Muchas gracias, he cambiado con todo lo que me has pasado y me has abierto un nuevo mundo!! Por cierto el try..catch estoy esperando a que me den permisos para grabar los problemas en una auditoria
    – Rosca
    Commented el 2 abr. 2019 a las 12:21
0

A pesar de que considero de que la opción de Leandro es óptima, existe una alternativa que permite trabajar con cadenas delimitadas. Esta opción, a diferencia de lo que habías realizado, no es vulnerable a inyección de SQL. Para utilizarla, sólo necesitamos crear una función que divida una cadena delimitada en multiples valores. Esta ha sido probada como una de las más rápidas en T-SQL con la limitante de que sólo soporta hasta 8000 caracteres. Fue creada por MVP Jeff Moden y modificada por Eirikur Eirikson.

CREATE FUNCTION [dbo].[DelimitedSplit8K_LEAD](
--===== Definir parámetros
    @pString VARCHAR(8000), 
    @pDelimiter CHAR(1)
)  
RETURNS TABLE WITH SCHEMABINDING AS  
 RETURN  
--===== Tabla de números (tally table) generada al vuelo con hasta 10,000 números 
     -- suficiente para soportar VARCHAR(8000)  
 WITH E1(N) AS (  
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL   
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL   
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1  
                ),                          --10E+1 or 10 filas  
       E2(N) AS (SELECT 1 FROM E1 a, E1 b), --10E+2 or 100 filas
       E4(N) AS (SELECT 1 FROM E2 a, E2 b), --10E+4 or 10,000 filas max  
 cteTally(N) AS (--==== Provee una base de zero y limita el número de filas desdeel inicio
                     -- para obtener un mejor rendimiento y prevenir valores extras
                 SELECT 0 UNION ALL  
                 SELECT TOP (DATALENGTH(ISNULL(@pString,1))) ROW_NUMBER() OVER (ORDER BY (SELECT NULL)) FROM E4  
                ),  
cteStart(N1) AS (--==== Regresa N+1 (posición de inicio de cada elemento una vez por delimitador)
                 SELECT t.N+1  
                   FROM cteTally t  
                  WHERE (SUBSTRING(@pString,t.N,1) = @pDelimiter OR t.N = 0)   
                )  
--===== Hacer la división de valores. El combo ISNULL/NULLIF maneja la longitud para el elemento final cuando no se encuentra un delimitador
 SELECT ItemNumber = ROW_NUMBER() OVER(ORDER BY s.N1),  
        Item = SUBSTRING(@pString,s.N1,ISNULL(NULLIF((LEAD(s.N1,1,1) OVER (ORDER BY s.N1) - 1),0)-s.N1,8000))  
   FROM cteStart s  
;  

Una vez teniendo esta función, el procedimiento quedaría así

ALTER PROCEDURE [dbo].[Select_AccountsBalance](
    @numeros varchar(8000) 
)
AS 
SET NOCOUNT ON;

SELECT InstanceId,
        Numero,
        Saldo,
        Disponible,
        Nombre as Tipo,
        Fecha,
        EsCredito,
        RiesgoAsignado,
        SaldoRetenido 
FROM Cuenta 
JOIN TipoCuenta ON Cuenta.TipoCuenta = TipoCuenta.Id
WHERE Numero IN (SELECT Item FROM dbo.DelimitedSplit8K_LEAD(@numeros, ',')) 
ORDER BY Numero;

Evita utilizar el prefijo sp_ para procedimientos almacenados. SP significa "special" y está reservado para objetos del sistema, no solo para procedimientos almacenados.

0

Hay 2 formas estándar que he visto que utilizan varias empresas, la mas antigua y común es usar un XML(MSSQLServer > 2005) te dejo un ejemplo:

CREATE PROCEDURE [Produccion].[TestXML] 
    @Detalle XML
AS
BEGIN
    SET NOCOUNT ON;
    DECLARE @i INT;
    DECLARE @TableDetalle TABLE(
        Item SMALLINT IDENTITY,
        Galpon CHAR(2),
        ProduccionTipo TINYINT,
        Edad INT,
        Unidades INT
    )

    EXEC sp_xml_preparedocument @i OUTPUT, @Detalle
    INSERT INTO @TableDetalle(
        Galpon,
        ProduccionTipo,
        Edad,
        Unidades
    )
    SELECT * FROM OPENXML(@i, N'/DocumentElement/Detalle')
    WITH (
        Galpon CHAR(2), 
        ProduccionTipo TINYINT,
        Edad INT,
        Unidades INT
    ) EXEC sp_xml_removedocument @i;

 END

y el snipper de c#

public static bool Grabar(List<testItem> ObjDetalleIn, string cadenaConexion)
        {
            int Respuesta = 0;
            using (ModeloProduccionAves objModelo = new ModeloProduccionAves(cadenaConexion))
            {
                XElement xmlElementMainClasificacion = new XElement("DocumentElement");
                foreach (testItem itemDetalle in ObjDetalleIn)
                    xmlElementMainClasificacion.Add(new XElement("Detalle",
                        new XAttribute("Galpon", itemDetalle.Galpon),
                        new XAttribute("ProduccionTipo", itemDetalle.ProduccionTipo),
                        new XAttribute("Edad", 0),
                        new XAttribute("Unidades", itemDetalle.Unidades)));

                SqlParameter objDetalleClasificacion = new SqlParameter("@Detalle", xmlElementMainClasificacion.ToString());
                objDetalleClasificacion.SqlDbType = System.Data.SqlDbType.Xml;

                object[] parametros = new object[] {
                    objDetalleClasificacion
                };
                Respuesta = objModelo.Database.ExecuteSqlCommand(System.Data.Entity.TransactionalBehavior.DoNotEnsureTransaction, "Produccion.TestXML @Detalle", parametros);
            }
            return Math.Abs(Respuesta) > 0;
        }

El otro método es para motores de MSSQLServer > 2016 es usando JSON

No tengo el método pero es muy parecido al que tienes pero se utiliza la librería Newton.JSON.

-1
ALTER PROCEDURE [dbo].[sp_Select_AccountsBalance]
@numeros varchar(max) = null,
@CONSULTA as nvarchar(max) = null
AS
BEGIN
    SET NOCOUNT ON;
    SELECT InstanceId,Numero,Saldo,Disponible,Nombre as 
           Tipo,Fecha,EsCredito,RiesgoAsignado,SaldoRetenido 
    FROM Cuenta JOIN TipoCuenta ON Cuenta.TipoCuenta = TipoCuenta.Id
    WHERE Numero IN (SELECT CAST(value as INT ) 
                    FROM STRING_SPLIT(@numeros, ',')) 
    order by Numero;
END

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.