Bagaimana cara mengirimkan parameter ke metode DbContext.Database.ExecuteSqlCommand?

Anggap saja saya memiliki kebutuhan yang valid untuk secara langsung mengeksekusi perintah sql di Entity Framework. Saya mengalami kesulitan mencari tahu cara menggunakan parameter dalam pernyataan sql saya. Contoh berikut (bukan contoh sebenarnya) tidak berfungsi.

var firstName = "John";
var id = 12;
var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";
ctx.Database.ExecuteSqlCommand(sql, firstName, id);

Metode ExecuteSqlCommand tidak memungkinkan Anda untuk memasukkan parameter bernama seperti di ADO.Net dan dokumentasi untuk metode ini tidak memberikan contoh tentang cara menjalankan kueri parameterisasi.

Bagaimana cara menentukan parameter dengan benar?

Coba ini:

var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";

ctx.Database.ExecuteSqlCommand(
    sql,
    new SqlParameter("@FirstName", firstname),
    new SqlParameter("@Id", id));

Ternyata ini berhasil.

var firstName = "John";
var id = 12;
var sql = "Update [User] SET FirstName = {0} WHERE Id = {1}";
ctx.Database.ExecuteSqlCommand(sql, firstName, id);

Anda dapat:

1) Lewati argumen mentah dan gunakan sintaks {0}. Misalnya:

DbContext.Database.SqlQuery("StoredProcedureName {0}", paramName);

2) Lulus argumen subkelas DbParameter dan gunakan sintaks @ParamName.

DbContext.Database.SqlQuery("StoredProcedureName @ParamName", 
                                   new SqlParameter("@ParamName", paramValue);

Jika Anda menggunakan sintaks pertama, EF sebenarnya akan membungkus argumen Anda dengan kelas DbParamater, menetapkannya, dan mengganti {0} dengan nama parameter yang dihasilkan.

Sintaks pertama jika disukai karena Anda tidak perlu menggunakan pabrik atau tahu apa jenis DbParamaters untuk membuat (SqlParameter, OracleParamter, dll.).

Jawaban lain tidak berfungsi saat menggunakan Oracle. Anda harus menggunakan :bukan @.

var sql = "Update [User] SET FirstName = :FirstName WHERE Id = :Id";

context.Database.ExecuteSqlCommand(
   sql,
   new OracleParameter(":FirstName", firstName), 
   new OracleParameter(":Id", id));

Coba ini (diedit):

ctx.Database.ExecuteSqlCommand(sql, new SqlParameter("FirstName", firstName), 
                                    new SqlParameter("Id", id));

Gagasan sebelumnya salah.

Untuk entitas Framework Core 2.0 atau lebih baru, cara yang benar untuk melakukan ini adalah:

var firstName = "John";
var id = 12;
ctx.Database.ExecuteSqlCommand($"Update [User] SET FirstName = {firstName} WHERE Id = {id}";

Perhatikan bahwa Entity Framework akan menghasilkan dua parameter untuk Anda, sehingga Anda terlindungi dari Sql Injection.

Perhatikan juga bahwa BUKAN:

var firstName = "John";
var id = 12;
var sql = $"Update [User] SET FirstName = {firstName} WHERE Id = {id}";
ctx.Database.ExecuteSqlCommand(sql);

karena ini TIDAK melindungi Anda dari Sql Injection, dan tidak ada parameter yang dihasilkan.

Lihat ini untuk lebih lanjut.

Versi sederhana untuk Oracle. Jika Anda tidak ingin membuat OracleParameter

var sql = "Update [User] SET FirstName = :p0 WHERE Id = :p1";
context.Database.ExecuteSqlCommand(sql, firstName, id);

var firstName = "John";
var id = 12;

ctx.Database.ExecuteSqlCommand(@"Update [User] SET FirstName = {0} WHERE Id = {1}"
, new object[]{ firstName, id });

Ini sangat sederhana !!!

Gambar untuk mengetahui referensi parameter

Untuk Metode async ("ExecuteSqlCommandAsync") Anda dapat menggunakannya seperti ini:

var sql = @"Update [User] SET FirstName = @FirstName WHERE Id = @Id";

await ctx.Database.ExecuteSqlCommandAsync(
    sql,
    parameters: new[]{
        new SqlParameter("@FirstName", firstname),
        new SqlParameter("@Id", id)
    });

Jika tipe data database yang mendasarinya adalah varchar maka Anda harus tetap menggunakan pendekatan di bawah ini. Kalau tidak, permintaan akan memiliki dampak kinerja yang sangat besar.

var firstName = new SqlParameter("@firstName", System.Data.SqlDbType.VarChar, 20)
                            {
                                Value = "whatever"
                            };

var id = new SqlParameter("@id", System.Data.SqlDbType.Int)
                            {
                                Value = 1
                            };
ctx.Database.ExecuteSqlCommand(@"Update [User] SET FirstName = @firstName WHERE Id = @id"
                               , firstName, id);

Anda dapat memeriksa profiler Sql untuk melihat perbedaannya.

public static class DbEx {
    public static IEnumerable<T> SqlQueryPrm<T>(this System.Data.Entity.Database database, string sql, object parameters) {
        using (var tmp_cmd = database.Connection.CreateCommand()) {
            var dict = ToDictionary(parameters);
            int i = 0;
            var arr = new object[dict.Count];
            foreach (var one_kvp in dict) {
                var param = tmp_cmd.CreateParameter();
                param.ParameterName = one_kvp.Key;
                if (one_kvp.Value == null) {
                    param.Value = DBNull.Value;
                } else {
                    param.Value = one_kvp.Value;
                }
                arr[i] = param;
                i++;
            }
            return database.SqlQuery<T>(sql, arr);
        }
    }
    private static IDictionary<string, object> ToDictionary(object data) {
        var attr = System.Reflection.BindingFlags.Public | System.Reflection.BindingFlags.Instance;
        var dict = new Dictionary<string, object>();
        foreach (var property in data.GetType().GetProperties(attr)) {
            if (property.CanRead) {
                dict.Add(property.Name, property.GetValue(data, null));
            }
        }
        return dict;
    }
}

Pemakaian:

var names = db.Database.SqlQueryPrm<string>("select name from position_category where id_key=@id_key", new { id_key = "mgr" }).ToList();

Banyak params dalam prosedur tersimpan yang memiliki banyak params di vb:

Dim result= db.Database.ExecuteSqlCommand("StoredProcedureName @a,@b,@c,@d,@e", a, b, c, d, e)

Prosedur tersimpan dapat dijalankan seperti di bawah ini

 string cmd = Constants.StoredProcs.usp_AddRoles.ToString() + " @userId, @roleIdList";
                        int result = db.Database
                                       .ExecuteSqlCommand
                                       (
                                          cmd,
                                           new SqlParameter("@userId", userId),
                                           new SqlParameter("@roleIdList", roleId)
                                       );

Untuk .NET Core 2.2, Anda dapat menggunakan FormattableStringuntuk SQL dinamis.

//Assuming this is your dynamic value and this not coming from user input
var tableName = "LogTable"; 
// let's say target date is coming from user input
var targetDate = DateTime.Now.Date.AddDays(-30);
var param = new SqlParameter("@targetDate", targetDate);  
var sql = string.Format("Delete From {0} Where CreatedDate < @targetDate", tableName);
var froamttedSql = FormattableStringFactory.Create(sql, param);
_db.Database.ExecuteSqlCommand(froamttedSql);