sql防止in注入方法

如果使用 “IN” 运算符时, IN 表达式右边的值为空或者 NULL，常见的写法通常会在拼接 SQL 语句过程中对此进行处理的，例如：

string paramValues = “”; // 假设参数为空
string sql = "select * from users where ";
if (paramValues.IsNullOrEmpty())
{
sql += “1=0”; // 如果参数值为空，则返回无数据。
}
else
{
sql += “userId in (” + paramValues + “)”; //"IN"操作符用于比较多个值以匹配一个结果集
}

上面的代码中，当输入的参数为空时，我们为 SQL 语句加入了一个恒不成立的条件“1=0”，告诉数据库不需要返回任何记录，避免执行非意义的查询。否则，我们可以组装出正确的带有 “IN” 操作符的 SQL 语句。

值得注意的是，如果您使用参数化查询，那么 EFCore 将自动处理NULL值。 因此，如果数据库列包含NULL值，则可以将它们视为有效结果之一。