Як передати параметри методу DbContext.Database.ExecuteSqlCommand?

Припустимо, у мене є обґрунтована потреба безпосередньо виконувати команду sql в Entity Framework. У мене виникають проблеми з з'ясуванням способів використання параметрів у моєму операторі sql. Наступний приклад (не мій реальний приклад) не працює.

var firstName = "John";
var id = 12;
var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";
ctx.Database.ExecuteSqlCommand(sql, firstName, id);

Метод ExecuteSqlCommand не дозволяє передавати такі параметри, як в ADO.Net, і документація цього методу не дає прикладів виконання параметризованого запиту.

Як правильно вказати параметри?

Спробуйте це:

var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";

ctx.Database.ExecuteSqlCommand(
    sql,
    new SqlParameter("@FirstName", firstname),
    new SqlParameter("@Id", id));

Виявляється, це працює.

var firstName = "John";
var id = 12;
var sql = "Update [User] SET FirstName = {0} WHERE Id = {1}";
ctx.Database.ExecuteSqlCommand(sql, firstName, id);

Ви можете:

1) Передайте необроблені аргументи і використовуйте синтаксис {0}. Наприклад:

DbContext.Database.SqlQuery("StoredProcedureName {0}", paramName);

2) Передайте аргументи підкласу DbParameter і використовуйте синтаксис @ParamName.

DbContext.Database.SqlQuery("StoredProcedureName @ParamName", 
                                   new SqlParameter("@ParamName", paramValue);

Якщо ви використовуєте перший синтаксис, EF фактично оберне ваші аргументи класами DbParamater, призначить їм імена та замінить {0} на створене ім'я параметра.

Перший синтаксис, якщо бажано, тому що вам не потрібно використовувати фабрику або знати, який тип DbParamaters створювати (SqlParameter, OracleParamter тощо).

Інші відповіді не працюють під час використання Oracle. Ви повинні використовувати :замість @.

var sql = "Update [User] SET FirstName = :FirstName WHERE Id = :Id";

context.Database.ExecuteSqlCommand(
   sql,
   new OracleParameter(":FirstName", firstName), 
   new OracleParameter(":Id", id));

Спробуйте це (відредаговано):

ctx.Database.ExecuteSqlCommand(sql, new SqlParameter("FirstName", firstName), 
                                    new SqlParameter("Id", id));

Попередня думка була помилковою.

Для сутності Framework Core 2.0 або вище, правильний спосіб це зробити:

var firstName = "John";
var id = 12;
ctx.Database.ExecuteSqlCommand($"Update [User] SET FirstName = {firstName} WHERE Id = {id}";

Зауважте, що Entity Framework буде виробляти два параметри для вас, тому ви захищені від ін'єкції Sql.

Також зауважте, що НЕ:

var firstName = "John";
var id = 12;
var sql = $"Update [User] SET FirstName = {firstName} WHERE Id = {id}";
ctx.Database.ExecuteSqlCommand(sql);

тому що це НЕ захищає вас від ін'єкції Sql, і параметри не виробляються.

Дивіться це докладніше.

Спрощена версія для Oracle. Якщо ви не хочете створити OracleParameter

var sql = "Update [User] SET FirstName = :p0 WHERE Id = :p1";
context.Database.ExecuteSqlCommand(sql, firstName, id);

var firstName = "John";
var id = 12;

ctx.Database.ExecuteSqlCommand(@"Update [User] SET FirstName = {0} WHERE Id = {1}"
, new object[]{ firstName, id });

Це так просто !!!

Зображення для отримання посилання на параметр

Для методу асинхронізації ("ExecuteSqlCommandAsync") ви можете використовувати його так:

var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";

await ctx.Database.ExecuteSqlCommandAsync(
    sql,
    parameters: new[]{
        new SqlParameter("@FirstName", firstname),
        new SqlParameter("@Id", id)
    });

Якщо основні типи даних бази даних є варшарними, тоді слід дотримуватися підходу нижче. Інакше запит матиме величезний вплив на продуктивність.

var firstName = new SqlParameter("@firstName", System.Data.SqlDbType.VarChar, 20)
                            {
                                Value = "whatever"
                            };

var id = new SqlParameter("@id", System.Data.SqlDbType.Int)
                            {
                                Value = 1
                            };
ctx.Database.ExecuteSqlCommand(@"Update [User] SET FirstName = @firstName WHERE Id = @id"
                               , firstName, id);

Ви можете перевірити Sql-профілер, щоб побачити різницю.

public static class DbEx {
    public static IEnumerable<T> SqlQueryPrm<T>(this System.Data.Entity.Database database, string sql, object parameters) {
        using (var tmp_cmd = database.Connection.CreateCommand()) {
            var dict = ToDictionary(parameters);
            int i = 0;
            var arr = new object[dict.Count];
            foreach (var one_kvp in dict) {
                var param = tmp_cmd.CreateParameter();
                param.ParameterName = one_kvp.Key;
                if (one_kvp.Value == null) {
                    param.Value = DBNull.Value;
                } else {
                    param.Value = one_kvp.Value;
                }
                arr[i] = param;
                i++;
            }
            return database.SqlQuery<T>(sql, arr);
        }
    }
    private static IDictionary<string, object> ToDictionary(object data) {
        var attr = System.Reflection.BindingFlags.Public | System.Reflection.BindingFlags.Instance;
        var dict = new Dictionary<string, object>();
        foreach (var property in data.GetType().GetProperties(attr)) {
            if (property.CanRead) {
                dict.Add(property.Name, property.GetValue(data, null));
            }
        }
        return dict;
    }
}

Використання:

var names = db.Database.SqlQueryPrm<string>("select name from position_category where id_key=@id_key", new { id_key = "mgr" }).ToList();

Кілька парам у збереженій процедурі, що має кілька парам в vb:

Dim result= db.Database.ExecuteSqlCommand("StoredProcedureName @a,@b,@c,@d,@e", a, b, c, d, e)

Збережені процедури можна виконати як нижче

 string cmd = Constants.StoredProcs.usp_AddRoles.ToString() + " @userId, @roleIdList";
                        int result = db.Database
                                       .ExecuteSqlCommand
                                       (
                                          cmd,
                                           new SqlParameter("@userId", userId),
                                           new SqlParameter("@roleIdList", roleId)
                                       );

Для .NET Core 2.2 ви можете використовувати FormattableStringдля динамічного SQL.

//Assuming this is your dynamic value and this not coming from user input
var tableName = "LogTable"; 
// let's say target date is coming from user input
var targetDate = DateTime.Now.Date.AddDays(-30);
var param = new SqlParameter("@targetDate", targetDate);  
var sql = string.Format("Delete From {0} Where CreatedDate < @targetDate", tableName);
var froamttedSql = FormattableStringFactory.Create(sql, param);
_db.Database.ExecuteSqlCommand(froamttedSql);