Как передать параметры в сквозной запрос в c #?

Специально для связанных серверов есть вызов EXEC (см. docs):

EXEC( 'SELECT * FROM User.Table WHERE col1 = ?', '<param>' ) AT linked_server

Вы можете поместить все это в string query, и вы будете защищены от SQL-инъекции в оператор SELECT, хотя вы можете получить синтаксическую ошибку для оператора EXEC.

Это не лучший подход с точки зрения производительности, но вы можете отфильтровать SQL Server сторону:

string query = "SELECT * 
                FROM OPENQUERY(linked_server, 'SELECT * FROM User.Table') s
                WHERE col1 = @parameter1";

РЕДАКТИРОВАТЬ:

Из Как передать переменную в запрос связанного сервера:

Когда вы запрашиваете связанный сервер, вы часто выполняете сквозной запрос, который использует оператор OPENQUERY, OPENROWSET или OPENDATASOURCE.

В этой статье представлены три примера того, как передать переменную в запрос связанного сервера.

Чтобы передать переменную в одну из функций передачи, необходимо создать динамический запрос.

Подход 1:

Передавать основные значения

Если базовая инструкция Transact-SQL известна, но вам необходимо передать одно или несколько конкретных значений, используйте код, аналогичный приведенному в следующем примере:

DECLARE @TSQL varchar(8000), @VAR char(2)
SELECT  @VAR = 'CA'
 
SELECT  @TSQL = 'SELECT * FROM OPENQUERY(MyLinkedServer
                  ,''SELECT * FROM pubs.dbo.authors WHERE state = ''''' 
                  + @VAR + ''''''')'
EXEC (@TSQL)

Подход 2:

Используйте хранимую процедуру Sp_executesql

Чтобы избежать многослойных кавычек, используйте код, похожий на следующий пример:

DECLARE @VAR char(2)
SELECT  @VAR = 'CA'
EXEC MyLinkedServer.master.dbo.sp_executesql
   N'SELECT * FROM pubs.dbo.authors WHERE state = @state',
   N'@state char(2)',
   @VAR

и в вашем примере:

DECLARE @parameter1 <your_type> = ?;

EXEC linked_server.master.dbo.sp_executesql
     @'SELECT * FROM User.Table WHERE col1 = @parameter1 '
    ,N'@parameter1 <your_type>'
    ,@parameter1;

Если вам нужно выполнить другую операцию на локальной стороне:

DECLARE @parameter1 <your_type> = ?;
CREATE #temp(col_name <type>, ...);

INSERT INTO #temp(col_name)    
EXEC linked_server.master.dbo.sp_executesql
     @'SELECT col_name1,... FROM User.Table WHERE col1 = @parameter1 '
    ,N'@parameter1 <your_type>'
    ,@parameter1;

SELECT *
FROM #temp
-- JOIN any local table (SQL Server's side)
-- WHERE any_condition;

Чтобы получить некоторое кеширование запросов SQL-сервера, лучше всего использовать sp_executesql хранимая процедура.

Он по своей конструкции любит передавать параметры в запрос, что хорошо для безопасности (предотвращение SQL-инъекций), а также производительности, когда вам нужно учитывать подразумеваемые преобразования (настоящий убийца производительности).

Вы можете сделать это просто, позвонив

using (SqlCommand cmd = _con.CreateCommand())
{
     cmd.CommandType = CommandType.StoredProcedure;
     cmd.CommandText = "sp_executesql";
     cmd.Parameters.Add("sel_query", myQuery);
     return cmd.ExecuteReader();
}  

Переменная myQuery может содержать любой допустимый TSQL и может быть сколь угодно сложной. Просто убедитесь, что все, что в нем, предназначено и безопасно как для вашего сервера, так и для того, к которому вы подключаетесь.

Некоторые динамические образцы можно найти при поиске в Интернете, см. этот пример. Однако вы можете сделать шаг назад, выпить кофе и подумать, возможно, вы хотели бы отделить определение таблицы других серверов от своего кода.

Вы можете подумать о создании представления на своем сервере, которое запрашивает связанный сервер, тогда вам нужно только запросить локальный объект, также хорошо работает с хранимыми процедурами и функциями.

Разделение также позволяет вам запрашивать другие базы данных, для которых у вашего клиента нет драйверов. Я создал подобные представления в DB2, Oracle и т. Д., Используя этот метод без необходимости установки драйверов в клиентских системах.

Вот лучший пример для создания динамического запроса и его выполнения. https://www.codeproject.com/Articles/20815/Building-Dynamic-SQL-In-a-Stored-Procedure. Я думаю, это тебе поможет.