0

Tengo un procedimiento almacenado donde recibo una cadena con este formato ‘1,8,10,12’ y necesitó usar los valores en algo así

SELECT * FROM Tabla WHERE status IN (1, 8, 10, 12) ORDER BY status  

Procedimiento almacenado

CREATE PROCEDURE [dbo].[Sp_TestBancor] 
 (
  @Parametro    NVARCHAR(200)
 )
AS
BEGIN

SET NOCOUNT ON;         
SELECT * FROM TestBancor WHERE STATUS IN (@Parametro) ORDER BY status
END; 

Codigo C#

   private static DataTable TetsSqlList()
        {
            SqlConnection cnx = new SqlConnection(cadena);
            DataTable dt = new DataTable();
            using (cnx)
            {
                cnx.Open();
                SqlCommand comando = new SqlCommand("Sp_TestBancor",cnx);
                comando.CommandType = CommandType.StoredProcedure;
                comando.Parameters.Clear();
                comando.Parameters.AddWithValue("@Parametro", "1,8,10,12");
                SqlDataAdapter adapter = new SqlDataAdapter(comando);
                adapter.Fill(dt);
                cnx.Close();
            }
            return dt;
        }
4
  • 1
    Qué error te sale cuando lo usas en el IN? IN(@param)
    – Arriel
    Commented el 7 feb. 2020 a las 15:18
  • puedes agregar tu sp pues segun asumo vas a generar una consulta usando execute.
    – DavElsanto
    Commented el 7 feb. 2020 a las 15:23
  • Dice que existe error al convertir el parametro en entero Commented el 7 feb. 2020 a las 15:31
  • No uses un string para pasar el valor por parametro, usa el tipo Table-Valued Parameters, asi puedes aplicar un join para trabajar los valores como si se tratara de otra tabla Commented el 7 feb. 2020 a las 16:09

5 respuestas 5

1

Lamentablemente en SQL Server 2014 y versiones anteriores no disponemos de STRING_SPLIT(), por lo que deberíamos construir una función "ad-hoc". Te recomiendo este interesante articulo del cual voy a copiar textual la función de split propuesta

CREATE FUNCTION [dbo].[DelimitedSplit8K]
--===== Define I/O parameters
        (@pString VARCHAR(8000), @pDelimiter CHAR(1))
--WARNING!!! DO NOT USE MAX DATA-TYPES HERE!  IT WILL KILL PERFORMANCE!
RETURNS TABLE WITH SCHEMABINDING AS
 RETURN
--===== "Inline" CTE Driven "Tally Table" produces values from 1 up to 10,000...
     -- enough to cover VARCHAR(8000)
  WITH E1(N) AS (
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1
                ),                          --10E+1 or 10 rows
       E2(N) AS (SELECT 1 FROM E1 a, E1 b), --10E+2 or 100 rows
       E4(N) AS (SELECT 1 FROM E2 a, E2 b), --10E+4 or 10,000 rows max
 cteTally(N) AS (--==== This provides the "base" CTE and limits the number of rows right up front
                     -- for both a performance gain and prevention of accidental "overruns"
                 SELECT TOP (ISNULL(DATALENGTH(@pString),0)) ROW_NUMBER() OVER (ORDER BY (SELECT NULL)) FROM E4
                ),
cteStart(N1) AS (--==== This returns N+1 (starting position of each "element" just once for each delimiter)
                 SELECT 1 UNION ALL
                 SELECT t.N+1 FROM cteTally t WHERE SUBSTRING(@pString,t.N,1) = @pDelimiter
                ),
cteLen(N1,L1) AS(--==== Return start and length (for use in substring)
                 SELECT s.N1,
                        ISNULL(NULLIF(CHARINDEX(@pDelimiter,@pString,s.N1),0)-s.N1,8000)
                   FROM cteStart s
                )
--===== Do the actual split. The ISNULL/NULLIF combo handles the length for the final element when no delimiter is found.
 SELECT ItemNumber = ROW_NUMBER() OVER(ORDER BY l.N1),
        Item       = SUBSTRING(@pString, l.N1, l.L1)
   FROM cteLen l
;

Hay otras implementaciones, pero esta en particular, es bastante óptima según se desprende del enlace anterior. Resolver tu problema con esta función se limitaría a hacer algo así:

SELECT * 
       FROM TestBancor 
       WHERE STATUS IN (select Item from DelimitedSplit8K( @Parametro, ',') ) 
       ORDER BY status
2
  • Creo la funcion ...pero cuando escribo la consulta dentro del SP e dice que Item y Delimited8k no existe..me da error Commented el 7 feb. 2020 a las 17:37
  • Revisa dónde has hecho el create, si no te dió error, la función está creada, prueba select * from DelimitedSplit8K( '1,2,3', ',') o bien select * from dbo.DelimitedSplit8K( '1,2,3', ',') <dbo> o el owner con el que creaste la función y apuntando siempre en la base de datos dónde este. Commented el 7 feb. 2020 a las 17:47
1

Puedes aplicar una tecnica mas avanzada que el IN para aplicar filtros, esta incluye los Table-Valued Parameters

Table-Valued Parameters

Como lo aplicarias

1- Creas el tipo de datos en la db, esto lo ejecutas desde la managemetn studio del sql server

CREATE TYPE dbo.TestBancorStatus AS TABLE  
    (status int)  

2- Usas ese tipo de dato en el procedure

CREATE PROCEDURE [dbo].[Sp_TestBancor] 
 (
   @status dbo.TestBancorStatus READONLY
 )

3- Lo usas como join en la consulta ya que pasa a ser una tabla mas con su estructura

CREATE PROCEDURE [dbo].[Sp_TestBancor] 
(
   @statusFiltro dbo.TestBancorStatus READONLY
)
AS
BEGIN

    SET NOCOUNT ON; 

    SELECT * FROM TestBancor tb
    INNER JOIN @statusFiltro s ON tb.status = s.status
    ORDER BY status

END; 

4- Desde codigo .net asignas los valores al parametro

DataTable dtStatus = new DataTable();
dtStatus.Columns.Add("status");

int[] numeros = new int[] {1,8,10,12};
foreach(var nro in numeros)
{
    var row = dtStatus.AddRow();
    row["status"] = nrp;
    dtStatus.Rows.Add(row);
}


SqlCommand comando = new SqlCommand("Sp_TestBancor", cnx);
comando.CommandType = CommandType.StoredProcedure;

var statuParam = comando.Parameters.AddWithValue("@statusFiltro", dtStatus);  
statuParam.SqlDbType = SqlDbType.Structured;  
statuParam.TypeName = "dbo.TestBancorStatus"; 

comando.ExecuteNonQuery();  

Asi evitar tener que parsear cadenas y esas cosas raras, pasas los datos con estrutura al poder definir un tipo de dato por parametro

1
  • amigo una pregunta si quisiera pasar mas parámetros puedo agregarlos a esa tabla o tengo que hacer una por cada lista de parámetros? CREATE TYPE dbo.TestBancorStatus AS TABLE (status int) , (ids int, ids2 int, Descripcion varhcar(10)) Commented el 18 jul. 2022 a las 22:40
0

Ok para que funcione vamos a construir un string el cual se va a ejecutar usando tu parametro:

DECLARE @sqlCommand varchar(1000)

SET @sqlCommand = 'SELECT * FROM tabla WHERE status IN (' + @param+ ') ORDER BY status';

EXEC (@sqlCommand)

Nota: Recuerda que dentro de un IN lo maximo a usar son 8 valores maximo por eficiencia.

6
  • Esta solución está completamente abierta a inyección de SQL y no debería de permanecer publicada. Las soluciones que dividen la cadena o proponen la alternativa de parámetros tipo tabla son las más recomendables. Commented el 7 feb. 2020 a las 16:37
  • tienes frontend, backend para realizar todas las validaciones y vas a dejar a la DB que realize la validacion de inyeccion de SQL???
    – DavElsanto
    Commented el 7 feb. 2020 a las 16:43
  • Está demostrado que las validaciones no son 100% eficientes. Siempre habrá valores válidos que sean bloqueados o valores inválidos que sean autorizados. Además, no faltará quien mande la instrucción desde algo que no esté validado. Commented el 7 feb. 2020 a las 17:22
  • Por otro lado, tu comentario de 8 valores no tiene ningún sustento. Commented el 7 feb. 2020 a las 17:23
  • Amigo trabaje con un DBA certificado en oracle el cual me comentó eso, pero si tu tienes la razón a todo es tu palabra
    – DavElsanto
    Commented el 7 feb. 2020 a las 19:53
0

Antes que nada, para evitar confusiones, esto:

SELECT * FROM Tabla WHERE status IN (@Parametro) ORDER BY status  

No funciona, por que el IN espera un conjunto de valores, no una cadena con dichos valores IN (1,2,3) no es lo mismo que IN ('1,2,3').

La forma menos performante, pero tal vez, la mas sencilla es buscar la cadena que corresponde al valor de status de cada fila, en la cadena de los parámetros a buscar.

SELECT * 
       FROM TestBancor 
       WHERE  CHARINDEX( ',' + STATUS  + ',', ',' + @Parametro + ',') > 0

Otras alternativas, que podríamos investigar son:

  • Split de la cadena @Parametro en múltiples filas para poder usar directamente en el IN (ver mi otra respuesta)
  • Un tipo de dato nuevo al estilo de un array para @Parametro, nunca lo he hecho, pero entiendo se podría hacer (ver respuesta de Leandro)
  • Pasar los valores de @Parametro al Sp por medio de una tabla temporal que leería el SP.
  • Editado: me olvidaba, la respuesta de DavElsanto, generar una consulta dinámica, aunque usaría mejor sp_executesql para evitar problemas de injección de código.
1
  • 1
    La respuesta de DavElsanto siempre estará abierta a inyección de código porque concatena los valores en vez de parametrizar. Commented el 7 feb. 2020 a las 16:35
-1

Si tu declaras un procedure de este modo, ha de funcionar. Cuando pones @ en un parámetro, estás creando un "alias" o un puntero de memoria hacia ese parámetro, pudiendolo usar el valor que tenga como quieras.

Así que, si haces esto, ha de funcionar

CREATE PROCEDURE nombreProcedure
    @param nvarchar(100) = NULL
AS
    SELECT * FROM tabla WHERE status IN (' + @param + ') ORDER BY status
GO
2
  • System.Data.SqlClient.SqlException: 'Error de conversión al convertir el valor nvarchar '1,8,10,12' al tipo de datos int.' Commented el 7 feb. 2020 a las 15:31
  • Corregido, disculpa... Commented el 7 feb. 2020 a las 15:49

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.