如何将复选框选中的数据作为字符串参数传递给 SQL 存储过程

本文详解如何从 jTable 中批量勾选的行提取指定列（如 ref_no）的字符串值，并安全地序列化为逗号分隔字符串，最终作为参数传入后端 WebMethod 及 SQL 存储过程，涵盖前端采集、JSON 传输、服务端反序列化与 SQL 参数化调用全流程。

在基于 jTable 的账户管理模块中，批量操作（比如“重新分配”）是个常见需求。要实现这个功能，关键在于如何准确、安全地把用户勾选行的关键字段（比如 `ref_no`）提取出来，并一路传递到后端的 SQL 存储过程里。这听起来简单，但每一步都藏着细节和陷阱。下面，我们就来拆解一套完整、健壮且能直接落地的实现方案。

✅ 前端：精准采集 ref_no 字符串数组

当 jTable 渲染完成后，每一行 `` 里都包含了多个 ``。我们的目标 `ref_no` 通常位于其中一列。这里有个常见的坑：直接使用 `nth-child(2)` 这类索引选择器。页面结构一旦有变，比如隐藏了某列，索引就全乱了。更可靠的办法，是利用 jTable 自动生成的语义化类名。

$("#btnReassign").on("click", function () {
    const checkedBoxes = $('input.chk:checked'); // 使用类选择器更可靠
    const refNos = [];
    checkedBoxes.each(function () {
        const $row = $(this).closest('tr');
        // 安全获取 ref_no：查找 class="jtable-column-ref_no" 的 td 或按列序（推荐前者）
        const $refNoCell = $row.find('td.jtable-column-ref_no');
        if ($refNoCell.length) {
            const refNo = $.trim($refNoCell.text());
            if (refNo) refNos.push(refNo);
        }
    });
    if (refNos.length === 0) {
        alert("请至少选择一行进行重新分配");
        return;
    }
    // 发送至后端 WebMethod
    $.ajax({
        type: "POST",
        url: "List.aspx/ReassignAccounts",
        data: JSON.stringify({ refNos: refNos }),
        contentType: "application/json; charset=utf-8",
        dataType: "json",
        success: function (response) {
            if (response.d && response.d.Result === "OK") {
                alert("已成功提交重分配请求");
                $('#TableContainer').jtable('reload'); // 刷新表格
            } else {
                alert("操作失败：" + (response.d?.Message || "未知错误"));
            }
        },
        error: function (xhr, status, err) {
            alert("网络错误：" + err);
        }
    });
});

这里有几个关键点需要把握：

• 选择器策略：jTable 很贴心，它会为每一列的 `` 自动加上 `class="jtable-column-{fieldName}"` 这样的类名（例如 `jtable-column-ref_no`）。用这个类名来定位，比依赖列索引稳定得多。
• 提取纯文本：使用 `.text()` 方法获取单元格内的纯文本，可以有效避免潜在的 HTML 标签干扰。
• 空值过滤：对提取到的值进行判空处理，防止空字符串混入数组，给后续的数据处理带来不必要的麻烦。

✅ 后端：WebMethod 接收并调用存储过程

前端数据准备就绪，接下来就是后端接收和处理。这里需要新增一个 `[WebMethod]` 来接收字符串数组，并通过参数化方式调用 SQL 存储过程。切记，任何时候都不要尝试拼接 SQL 字符串。

[WebMethod(EnableSession = true)]
public static object ReassignAccounts(string[] refNos)
{
    try
    {
        if (refNos == null || refNos.Length == 0)
            return new { Result = "ERROR", Message = "未提供有效 ref_no 列表" };

        // 将字符串数组安全转为逗号分隔字符串（仅用于日志或调试，不用于 SQL 拼接）
        string refNosCsv = string.Join(",", refNos.Select(r => $"'{r.Replace("'", "''")}'"));

        // ✅ 正确做法：使用表值参数（TVP）或逐条处理
        // 示例：调用支持 TVP 的存储过程（推荐）
        var result = _repository.NewAccount.ReassignByRefNos(refNos);
        return new { Result = "OK", Message = $"成功处理 {result} 条记录" };
    }
    catch (Exception ex)
    {
        return new { Result = "ERROR", Message = ex.Message };
    }
}

? 存储过程调用建议（C# Repository 层）

那么，在数据访问层，如何安全地将字符串数组传给存储过程呢？表值参数（TVP）是目前公认的最佳实践。

// 使用 DataTable 构造表值参数（TVP）
public int ReassignByRefNos(string[] refNos)
{
    using (var conn = new SqlConnection(connectionString))
    {
        conn.Open();
        using (var cmd = new SqlCommand("sp_ReassignAccounts", conn))
        {
            cmd.CommandType = CommandType.StoredProcedure;
            // 构建 TVP
            var tvp = new DataTable();
            tvp.Columns.Add("RefNo", typeof(string));
            foreach (var refNo in refNos)
                tvp.Rows.Add(refNo);

            var param = cmd.Parameters.AddWithValue("@RefNoList", tvp);
            param.SqlDbType = SqlDbType.Structured;
            param.TypeName = "dbo.StringList"; // 需提前在 SQL 中创建 TYPE
            return (int)cmd.ExecuteScalar();
        }
    }
}

⚠️ 关于安全性，这里必须划重点：

• 绝对禁止将 `refNos` 数组直接拼接成 SQL 字符串（比如 `"IN ('" + string.Join("','", refNos) + "')"`），这是打开 SQL 注入漏洞大门的钥匙。
• 首选方案：表值参数（TVP）。它不仅能完美规避注入风险，在处理批量数据时性能也相当出色。
• 备选方案：如果无法使用 TVP，可以考虑用 `UNION ALL` 动态构建参数化查询。但相比之下，TVP 的方案更优雅、更高效。

✅ SQL 存储过程示例（使用 TVP）

后端代码准备好了，数据库端也需要相应的配合。首先需要创建一个自定义表类型，然后才是存储过程本身。

-- 1. 创建自定义表类型（只需执行一次）
CREATE TYPE dbo.StringList AS TABLE (Value NVARCHAR(50) NOT NULL);

-- 2. 存储过程
CREATE PROCEDURE sp_ReassignAccounts
    @RefNoList dbo.StringList READONLY
AS
BEGIN
    SET NOCOUNT ON;
    UPDATE a 
    SET RMID = @NewRMID, UpdatedAt = GETDATE()
    FROM Accounts a
    INNER JOIN @RefNoList t ON a.RefNo = t.Value;
    SELECT @@ROWCOUNT;
END

✅ 总结与最佳实践

遵循以上这套结构化的实现路径，你不仅能稳健地完成从界面勾选到数据库更新的全链路操作，更重要的是，它能确保整个流程符合安全编码规范，从根本上杜绝注入风险。同时，清晰的模块划分也让代码的维护性和扩展性得到了保障。