Làm cách nào để truyền tham số cho phương thức DbContext.Database.ExecuteSqlCommand?

Hãy giả sử rằng tôi có một nhu cầu hợp lệ để thực hiện trực tiếp một lệnh sql trong Entity Framework. Tôi gặp khó khăn khi tìm hiểu làm thế nào để sử dụng các tham số trong câu lệnh sql của tôi. Ví dụ sau (không phải ví dụ thực tế của tôi) không hoạt động.

var firstName = "John";
var id = 12;
var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";
ctx.Database.ExecuteSqlCommand(sql, firstName, id);

Phương thức ExecuteSqlCommand không cho phép bạn truyền các tham số đã đặt tên như trong ADO.Net và tài liệu cho phương thức này không đưa ra bất kỳ ví dụ nào về cách thực hiện truy vấn được tham số hóa.

Làm thế nào để tôi xác định các tham số chính xác?

Thử cái này:

var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";

ctx.Database.ExecuteSqlCommand(
    sql,
    new SqlParameter("@FirstName", firstname),
    new SqlParameter("@Id", id));

Hóa ra là cái này hoạt động.

var firstName = "John";
var id = 12;
var sql = "Update [User] SET FirstName = {0} WHERE Id = {1}";
ctx.Database.ExecuteSqlCommand(sql, firstName, id);

Bạn có thể:

1) Truyền các đối số thô và sử dụng cú pháp {0}. Ví dụ:

DbContext.Database.SqlQuery("StoredProcedureName {0}", paramName);

2) Truyền các đối số lớp con DbParameter và sử dụng cú pháp @ParamName.

DbContext.Database.SqlQuery("StoredProcedureName @ParamName", 
                                   new SqlParameter("@ParamName", paramValue);

Nếu bạn sử dụng cú pháp đầu tiên, EF thực sự sẽ bao bọc các đối số của bạn bằng các lớp DbParamater, gán tên cho chúng và thay thế {0} bằng tên tham số được tạo.

Cú pháp đầu tiên nếu được ưa thích vì bạn không cần sử dụng nhà máy hoặc biết loại DbParamaters nào sẽ tạo (SqlParameter, OracleParamter, v.v.).

Các câu trả lời khác không hoạt động khi sử dụng Oracle. Bạn cần sử dụng :thay vì @.

var sql = "Update [User] SET FirstName = :FirstName WHERE Id = :Id";

context.Database.ExecuteSqlCommand(
   sql,
   new OracleParameter(":FirstName", firstName), 
   new OracleParameter(":Id", id));

Hãy thử điều này (chỉnh sửa):

ctx.Database.ExecuteSqlCommand(sql, new SqlParameter("FirstName", firstName), 
                                    new SqlParameter("Id", id));

Ý tưởng trước đó đã sai.

Đối với thực thể Framework Core 2.0 trở lên, cách chính xác để thực hiện việc này là:

var firstName = "John";
var id = 12;
ctx.Database.ExecuteSqlCommand($"Update [User] SET FirstName = {firstName} WHERE Id = {id}";

Lưu ý rằng Entity Framework sẽ tạo ra hai tham số cho bạn, vì vậy bạn được bảo vệ khỏi Sql Injection.

Cũng lưu ý rằng nó KHÔNG:

var firstName = "John";
var id = 12;
var sql = $"Update [User] SET FirstName = {firstName} WHERE Id = {id}";
ctx.Database.ExecuteSqlCommand(sql);

bởi vì điều này KHÔNG bảo vệ bạn khỏi Sql Injection và không có tham số nào được tạo ra.

Xem điều này để biết thêm.

Phiên bản đơn giản hóa cho Oracle. Nếu bạn không muốn tạo OracleParameter

var sql = "Update [User] SET FirstName = :p0 WHERE Id = :p1";
context.Database.ExecuteSqlCommand(sql, firstName, id);

var firstName = "John";
var id = 12;

ctx.Database.ExecuteSqlCommand(@"Update [User] SET FirstName = {0} WHERE Id = {1}"
, new object[]{ firstName, id });

Điều này thật đơn giản !!!

Hình ảnh để biết tham chiếu tham số

Đối với Phương thức async ("ExecuteSqlCommandAsync"), bạn có thể sử dụng phương thức này như sau:

var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";

await ctx.Database.ExecuteSqlCommandAsync(
    sql,
    parameters: new[]{
        new SqlParameter("@FirstName", firstname),
        new SqlParameter("@Id", id)
    });

Nếu các kiểu dữ liệu cơ sở dữ liệu cơ bản của bạn là varchar thì bạn nên tuân theo cách tiếp cận bên dưới. Nếu không, truy vấn sẽ có tác động hiệu suất rất lớn.

var firstName = new SqlParameter("@firstName", System.Data.SqlDbType.VarChar, 20)
                            {
                                Value = "whatever"
                            };

var id = new SqlParameter("@id", System.Data.SqlDbType.Int)
                            {
                                Value = 1
                            };
ctx.Database.ExecuteSqlCommand(@"Update [User] SET FirstName = @firstName WHERE Id = @id"
                               , firstName, id);

Bạn có thể kiểm tra hồ sơ Sql để thấy sự khác biệt.

public static class DbEx {
    public static IEnumerable<T> SqlQueryPrm<T>(this System.Data.Entity.Database database, string sql, object parameters) {
        using (var tmp_cmd = database.Connection.CreateCommand()) {
            var dict = ToDictionary(parameters);
            int i = 0;
            var arr = new object[dict.Count];
            foreach (var one_kvp in dict) {
                var param = tmp_cmd.CreateParameter();
                param.ParameterName = one_kvp.Key;
                if (one_kvp.Value == null) {
                    param.Value = DBNull.Value;
                } else {
                    param.Value = one_kvp.Value;
                }
                arr[i] = param;
                i++;
            }
            return database.SqlQuery<T>(sql, arr);
        }
    }
    private static IDictionary<string, object> ToDictionary(object data) {
        var attr = System.Reflection.BindingFlags.Public | System.Reflection.BindingFlags.Instance;
        var dict = new Dictionary<string, object>();
        foreach (var property in data.GetType().GetProperties(attr)) {
            if (property.CanRead) {
                dict.Add(property.Name, property.GetValue(data, null));
            }
        }
        return dict;
    }
}

Sử dụng:

var names = db.Database.SqlQueryPrm<string>("select name from position_category where id_key=@id_key", new { id_key = "mgr" }).ToList();

Nhiều tham số trong một thủ tục được lưu trữ có nhiều tham số trong vb:

Dim result= db.Database.ExecuteSqlCommand("StoredProcedureName @a,@b,@c,@d,@e", a, b, c, d, e)

Thủ tục lưu trữ có thể được thực hiện như dưới đây

 string cmd = Constants.StoredProcs.usp_AddRoles.ToString() + " @userId, @roleIdList";
                        int result = db.Database
                                       .ExecuteSqlCommand
                                       (
                                          cmd,
                                           new SqlParameter("@userId", userId),
                                           new SqlParameter("@roleIdList", roleId)
                                       );

Đối với .NET Core 2.2, bạn có thể sử dụng FormattableStringcho SQL động.

//Assuming this is your dynamic value and this not coming from user input
var tableName = "LogTable"; 
// let's say target date is coming from user input
var targetDate = DateTime.Now.Date.AddDays(-30);
var param = new SqlParameter("@targetDate", targetDate);  
var sql = string.Format("Delete From {0} Where CreatedDate < @targetDate", tableName);
var froamttedSql = FormattableStringFactory.Create(sql, param);
_db.Database.ExecuteSqlCommand(froamttedSql);