1

Tengo el siguiente SP en SQL SERVER

ALTER PROCEDURE [dbo].[SP_ModLogistica_ControlInternetEnvio_Todos]
(
    @session                    as VARCHAR(50),
    @id_usuario                 as numeric(10,0),
    @PEDIDO_LARGO               AS NVARCHAR(max) 
    

)
WITH RECOMPILE
AS
BEGIN

    SELECT  DISTINCT
            A.ID_MOD_WEB,
            A.RUT_CLIENTE,
            CL.NOMBRE               AS NOMBRE, 
            A.PEDIDO_WEB_LARGO      AS PEDIDO_WEB_LARGO,
            SUM(B.CANTIDAD)         AS UNIDADES,
            TP.TRANSPORTE           AS TRANSPORTE, 
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108) AS FECHA_REVISION, 
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),TE.created_at,108) AS FECHA_ETIQUETA, 
            UPPER(DJ.neighborhood)  AS COMUNA  

FROM    MOD_WEB A WITH(NOLOCK)   
            INNER JOIN MOD_WEB_DETALLE B WITH(NOLOCK)           ON A.ID_MOD_WEB = B.ID_MOD_WEB
            INNER JOIN TRANSPORTES_ETIQUETAS TE                 ON TE.ID_MOD_WEB = A.ID_MOD_WEB 
            INNER JOIN TRANSPORTE TP                            ON TP.ID_TRANSPORTE = TE.ID_TRANSPORTE 
            INNER JOIN DIRECCIONES_JSON_VTEX DJ                 ON DJ.pedido_web = A.PEDIDO_WEB_LARGO 
            OUTER APPLY ( SELECT TOP(1) UPPER(REPLACE(cardname, ';', '')) AS NOMBRE 
                FROM CLIENTES_WEB X WHERE A.RUT_CLIENTE = X.cardcode ) AS CL 
        
    WHERE   A.PEDIDO_WEB_LARGO IN ( @PEDIDO_LARGO )

    GROUP BY A.ID_MOD_WEB,
            A.FECHA,
            A.RUT_CLIENTE,
            CL.NOMBRE, 
            A.PEDIDO_WEB_LARGO,
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108),
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),created_at,108), 
            DJ.neighborhood, 
            TP.TRANSPORTE  


END

El cual estoy ejecutando de la siguiente manera:

exec SP_ModLogistica_ControlInternetEnvio_Todos 'v2qjg36cqmn5t2v01lulcl0sr4', 74, '''1041721636514'', ''1041740373176'', ''1041752598177'', ''1041771824386'', ''1041793241261'''

Nótese que el último parámetro es un grupo de pedidos separados por , y deben ir en comillas simples. El grupo de pedidos los lee, sin embargo la consulta no retorna ningún valor, ¿estoy pasando mal los valores en en IN del query?

3 respuestas 3

2

Como ya lo dijeron, el problema es que SQL Server no está interpretando la cadena de valores como múltiples valores sino como uno solo. Para poder corregirlo, hay distintas opciones. Una que no exige muchos cambios es la de tener una función que divida los valores en valores independientes. Me tomé la libertad de traducir mi favorita que tiene un rendimiento excepcional (como se explica en este artículo en inglés).

CREATE FUNCTION [dbo].[DelimitedSplit8K_LEAD]
--===== Definir Parámetros
        (@pCadena VARCHAR(8000), @pDelimitador CHAR(1))
RETURNS TABLE WITH SCHEMABINDING AS
 RETURN
--===== Tabla de Números en linea usando CTE produce valores del 0 al 10,000...
     -- suficiente para soportar VARCHAR(8000)
 WITH E1(N) AS (
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL 
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL 
                 SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1 UNION ALL SELECT 1
                ),                          --10E+1 or 10 filas
       E2(N) AS (SELECT 1 FROM E1 a, E1 b), --10E+2 or 100 filas
       E4(N) AS (SELECT 1 FROM E2 a, E2 b), --10E+4 or 10,000 filas max
 cteNumeros(N) AS (--==== Otorga una "base cero" y limita el número de filas desde el inicio
                     -- para mejorar el rendimiento y prevenir excesos de datos
                 SELECT 0 UNION ALL
                 SELECT TOP (DATALENGTH(ISNULL(@pCadena,1))) ROW_NUMBER() OVER (ORDER BY (SELECT NULL)) FROM E4
                ),
cteInicio(N1) AS (--==== Regresa N+1 (posición de inicio de cada elemento una sola vez por delimitador)
                 SELECT t.N+1
                   FROM cteNumeros t
                  WHERE (SUBSTRING(@pCadena,t.N,1) = @pDelimitador OR t.N = 0) 
                )
--===== Hacer la división. El combo ISNULL/NULLIF es para manejar la longitud del último elemento cuando no se encuentre un delimitador.
 SELECT ItemNum = ROW_NUMBER() OVER(ORDER BY s.N1),
        Item = SUBSTRING(@pCadena,i.N1,ISNULL(NULLIF((LEAD(i.N1,1,1) OVER (ORDER BY i.N1) - 1),0)-i.N1,8000))
   FROM cteInicio i
;
GO

Con esa función solo se requiere un pequeño cambio en el procedimiento

ALTER PROCEDURE [dbo].[SP_ModLogistica_ControlInternetEnvio_Todos]
(
    @session                    as VARCHAR(50),
    @id_usuario                 as numeric(10,0),
    @PEDIDO_LARGO               AS NVARCHAR(max) 
)
WITH RECOMPILE
AS
BEGIN
    SELECT  DISTINCT
            A.ID_MOD_WEB,
            A.RUT_CLIENTE,
            CL.NOMBRE               AS NOMBRE, 
            A.PEDIDO_WEB_LARGO      AS PEDIDO_WEB_LARGO,
            SUM(B.CANTIDAD)         AS UNIDADES,
            TP.TRANSPORTE           AS TRANSPORTE, 
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108) AS FECHA_REVISION, 
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),TE.created_at,108) AS FECHA_ETIQUETA, 
            UPPER(DJ.neighborhood)  AS COMUNA  

FROM    MOD_WEB A WITH(NOLOCK)   
            INNER JOIN MOD_WEB_DETALLE B WITH(NOLOCK)                    ON A.ID_MOD_WEB = B.ID_MOD_WEB
            INNER JOIN TRANSPORTES_ETIQUETAS TE                          ON TE.ID_MOD_WEB = A.ID_MOD_WEB 
            INNER JOIN TRANSPORTE TP                                     ON TP.ID_TRANSPORTE = TE.ID_TRANSPORTE 
            INNER JOIN DIRECCIONES_JSON_VTEX DJ                          ON DJ.pedido_web = A.PEDIDO_WEB_LARGO 
            OUTER APPLY ( SELECT TOP(1) UPPER(REPLACE(cardname, ';', '')) AS NOMBRE 
                        FROM CLIENTES_WEB X 
                        WHERE A.RUT_CLIENTE = X.cardcode ) AS CL 
    --Cambio en el WHERE
    WHERE A.PEDIDO_WEB_LARGO IN(SELECT Item FROM dbo.DelimitedSplit8K_LEAD( @PEDIDO_LARGO, ',') DS )
    --Fin del cambio
    GROUP BY A.ID_MOD_WEB,
            A.FECHA,
            A.RUT_CLIENTE,
            CL.NOMBRE, 
            A.PEDIDO_WEB_LARGO,
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108),
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),created_at,108), 
            DJ.neighborhood, 
            TP.TRANSPORTE  
END

La otra opción es la de utilizar parámetros tipo tabla que permiten enviar los conjuntos de datos sin necesidad de concatenar y dividir cadenas, pero eso requiere cambios en el código que llama al procedimiento además de la creación de tipos de datos personalizados.

1

Tu variable @PEDIDO_LARGO es una cadena de texto; lo que allí pases no será interpretado como un conjunto de datos; es decir si pasas 'HOLA' buscara si hay 'HOLA' en A.PEDIDO_WEB_LARGO si pasas 'HOLA', 'ME LEES' buscara 'HOLA', 'ME LEES'; no buscara si esta HOLA y/o ME LEES.

Para tu situación te sugiero crear una tabla temporal ; mi sugerencia (cuerpo del BEGIN):

DECLARE @sentenciaINSERT nvarchar(100);   /* poner longitud suficiente para tu entorno */
BEGIN



   /* Creando tabla temporal */
   Create Table #PedidosBuscados (
      IdentificadorPedido NVARCHAR(30) /* Colocar longitud suficiente */
   );

   /* Armamos y ejecutamos un insert a #PedidosBuscados  */
SET @sentenciaINSERT = 'INSERT INTO #PedidosBuscados(IdentificadorPedido ) VALUES( ' + REPLACE(@PEDIDO_LARGO,''', ''','''), (''') + ' )';
EXEC (@sentenciaINSERT );  

    SELECT  DISTINCT
            A.ID_MOD_WEB,
            A.RUT_CLIENTE,
            CL.NOMBRE               AS NOMBRE, 
            A.PEDIDO_WEB_LARGO      AS PEDIDO_WEB_LARGO,
            SUM(B.CANTIDAD)         AS UNIDADES,
            TP.TRANSPORTE           AS TRANSPORTE, 
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108) AS FECHA_REVISION, 
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),TE.created_at,108) AS FECHA_ETIQUETA, 
            UPPER(DJ.neighborhood)  AS COMUNA  

FROM    MOD_WEB A WITH(NOLOCK)   
            INNER JOIN MOD_WEB_DETALLE B WITH(NOLOCK)           ON A.ID_MOD_WEB = B.ID_MOD_WEB
            INNER JOIN TRANSPORTES_ETIQUETAS TE                 ON TE.ID_MOD_WEB = A.ID_MOD_WEB 
            INNER JOIN TRANSPORTE TP                            ON TP.ID_TRANSPORTE = TE.ID_TRANSPORTE 
            INNER JOIN DIRECCIONES_JSON_VTEX DJ                 ON DJ.pedido_web = A.PEDIDO_WEB_LARGO 
            OUTER APPLY ( SELECT TOP(1) UPPER(REPLACE(cardname, ';', '')) AS NOMBRE 
                FROM CLIENTES_WEB X WHERE A.RUT_CLIENTE = X.cardcode ) AS CL 
        
    WHERE   A.PEDIDO_WEB_LARGO IN ( SELECT IdentificadorPedido  FROM #PedidosBuscados) /* Aqui cambia */

    GROUP BY A.ID_MOD_WEB,
            A.FECHA,
            A.RUT_CLIENTE,
            CL.NOMBRE, 
            A.PEDIDO_WEB_LARGO,
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108),
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),created_at,108), 
            DJ.neighborhood, 
            TP.TRANSPORTE  


END

Esta forma te puede servir paravarios tipos de datos, desde luego creando la tabla con el tipo de datos que corresponda y en caso de ser necesario haciendo las conversiones pertinentes.

Importante

En el ejemplo que proporcionaste '''1041721636514'', ''1041740373176'', ''1041752598177'', ''1041771824386'', ''1041793241261''' tiene espacio entre un elemento y otro asi como ya tienes las comillas incluidas; si se recibe un (similar pero no limitado a) como 'codigo1','codigo2' no lo considerara 2 sino 1 código.

ACTUALIZACIÓN 1

Atendiendo un comentario que pusieron al respecto que puede ser víctima de inyección de código Queda el uso de SPLIT_STRING; cuya observación es cierta si los datos los datos llegan desde el usuario.

EL uso de STRING_SPLIT seria realizando un cambio en:

WHERE   A.PEDIDO_WEB_LARGO IN ( SELECT IdentificadorPedido  FROM #PedidosBuscados)

por (algo parecido; esta instrucción no la he usado)

WHERE A.PEDIDO_WEB_LARGO IN ( SELECT value FROM STRING_SPLIT(@PEDIDO_LARGO, ',')) 

Verifica su disponibilidad acorde a la versión de SQL Server que uses.

ACTUALIZACIÓN 2

Otra opción/forma es usar CHARINDEX; con ello se buscaría que el texto de PEDIDO_WEB_LARGO se encuentre en @PEDIDO_LARGO.

En lo personal, buscaría tener un texto simple en el cual buscar; para ello te sugiero eliminar las comillas y los espacios:

Antes del BEGIN declarar digamos (y del mismo tipo de dato) variable @simpleTexto y realizar lo siguiente:

SET @simpleTexto = REPLACE(@PEDIDO_LARGO,', ''',','''); // Quitamos espacios
SET @simpleTexto = CONCAT(',', REPLACE(@simpleTexto ,'''',''), ','); // Quitamos comillas y agregamos comas a los extremos

y el WHERE de la siguiente forma:

WHERE CHARINDEX(CONCAT(',', A.PEDIDO_WEB_LARGO, ','), @simpleTexto)>0

Las comas , en los extremos es para marcar tener siempre el formato coma seguido del numero de pedido y finalizando con coma; y completamos a A.PEDIDO_WEB_LARGO igual con sus comas a los extremos.

2
  • 1
    Esa es la mejor forma para ser víctima de inyección de SQL. Jamás hay que ejecutar un texto que no podamos controlar. Commented el 1 jul. 2020 a las 20:25
  • Gracias por las actualizaciones. Es bueno que hayas tomado el comentario como algo para mejorar y no como un ataque. Commented el 2 jul. 2020 a las 13:39
0

Existen diversas maneras de acometer el paso de parámetros a un procedure. Todas se basan en la posibilidad de dividir el parámetro concatenado por un carácter en trozos individuales.

Una de las opciones de dividir una cadena es utilizar Xml. Con la cadena de parámetros dividida, se integra dentro de una variable tipo tabla, y se hace un inner join contra la misma.

ALTER PROCEDURE [dbo].[SP_ModLogistica_ControlInternetEnvio_Todos]
(
    @session                    as VARCHAR(50),
    @id_usuario                 as numeric(10,0),
    -- CAMBIO EL NVARCHAR, PUESTO QUE LOS PARÁMETROS PARECEN VARCHAR
    @PEDIDO_LARGO               AS VARCHAR(max) 
    

)
WITH RECOMPILE
AS
BEGIN

DECLARE @Xml XML;
DECLARE @SplitSep Varchar(1) = ',';
DECLARE @TablaParametros Table
( 
  numParameter Int Identity(1,1)
, value varchar(100)
)
 
 
SELECT @Xml = 
CONVERT(XML, '<r><s>' + 
  REPLACE(@PEDIDO_LARGO , @SplitSep, '</s><s>') +  '</s></r>');

    SELECT  DISTINCT
            A.ID_MOD_WEB,
            A.RUT_CLIENTE,
            CL.NOMBRE               AS NOMBRE, 
            A.PEDIDO_WEB_LARGO      AS PEDIDO_WEB_LARGO,
            SUM(B.CANTIDAD)         AS UNIDADES,
            TP.TRANSPORTE           AS TRANSPORTE, 
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108) AS FECHA_REVISION, 
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),TE.created_at,108) AS FECHA_ETIQUETA, 
            UPPER(DJ.neighborhood)  AS COMUNA  

FROM    MOD_WEB A WITH(NOLOCK)   
            INNER JOIN MOD_WEB_DETALLE B WITH(NOLOCK)           ON A.ID_MOD_WEB = B.ID_MOD_WEB
            INNER JOIN TRANSPORTES_ETIQUETAS TE                 ON TE.ID_MOD_WEB = A.ID_MOD_WEB 
            INNER JOIN TRANSPORTE TP                            ON TP.ID_TRANSPORTE = TE.ID_TRANSPORTE 
            INNER JOIN DIRECCIONES_JSON_VTEX DJ                 ON DJ.pedido_web = A.PEDIDO_WEB_LARGO 
-- INNER JOIN CONTRA LA TABLA DE PARÁMETROS
            INNER JOIN @TablaParametros TP                      ON TP.value = A.PEDIDO_WEB_LARGO  
            OUTER APPLY ( SELECT TOP(1) UPPER(REPLACE(cardname, ';', '')) AS NOMBRE 
                FROM CLIENTES_WEB X WHERE A.RUT_CLIENTE = X.cardcode ) AS CL 
        
    GROUP BY A.ID_MOD_WEB,
            A.FECHA,
            A.RUT_CLIENTE,
            CL.NOMBRE, 
            A.PEDIDO_WEB_LARGO,
            CONVERT(VARCHAR(10),FECHA_REVISION,103)+' '+CONVERT(VARCHAR(5),FECHA_REVISION,108),
            CONVERT(VARCHAR(10),TE.created_at,103)+' '+CONVERT(VARCHAR(5),created_at,108), 
            DJ.neighborhood, 
            TP.TRANSPORTE  


END

Con el cambio del procedimiento, la invocación es:

exec SP_ModLogistica_ControlInternetEnvio_Todos 
'v2qjg36cqmn5t2v01lulcl0sr4', 
74, 
'1041721636514,1041740373176,1041752598177,1041771824386,1041793241261'

Pasar lista de valores a un procedure

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.