【C＃】 SQLのパラメータにSQL文を使用したい場合

Question

【C＃】　SQLのパラメータにSQL文を使用したい場合

解決方法が分からないためご教授願います。

SQL文「SELECT count(*) FROM T_USER where id = @id」の@idにSQL文を挿入したいです。
ですが、実行すると値がうまく取得できません。

私が実行したい、パラメーター代入後のSQL文のイメージは以下です。
「SELECT count(*) FROM T_USER where id = (SELECT MAX(id) FROM M_USER)」

ですが、おそらく代入されたものがダブルクォーテーションで囲まれた状態で実行されてしまっているため、うまく値を取得できていません。
「SELECT count(*) FROM T_USER where id = "(SELECT MAX(id) FROM M_USER)"」

@idに(SELECT MAX(id) FROM M_USER)をダブルクォーテーションなしで代入する方法はございますか？

using System.Configuration;
using System.Data.SqlClient;
 
public void Connect1()
{
    // 接続文字列の取得
    var connectionString = ConfigurationManager.ConnectionStrings["sqlsvr"].ConnectionString;
 
    // データベース接続の準備
    var connection = new SqlConnection(connectionString);
 
    // データベースの接続開始
    connection.Open();
 
    // 実行するSQLの準備
    var command = new SqlCommand();
    command.Connection = connection;
    command.CommandText = @"SELECT count(*) FROM T_USER where id = @id";

　　command.Parameters.Add(new SqlParameter("@id", "(SELECT MAX(id) FROM  T_USER)"));
 
    // SQLの実行
    command.ExecuteNonQuery();
 
    // データベースの接続終了
    connection.Close();
}

上記は例文です。最初からcommand.CommandText = "SELECT count(*) FROM T_USER where id = (SELECT MAX(id) FROM M_USER)"にしたらよいと思われるかもしれませんが、実際に動かしたいものは違います。。SQLのパラメーターにSQL文を代入する方法を知りたいです。拙い文章ですみませんが、よろしくお願いいたします。

Comments

[退会済みユーザー]

パラメータには出来ませんが、副問い合わせにしたらどうでしょう？

Answer 1

パラメタライズドクエリ（@でパラメータを渡すクエリ）ってのはSQLインジェクションを防ぐ仕組みなので、原理的に無理。

Comments

[nyamuii]

できないんですね、、
分けて実行するしかなさそうですね…ありがとうございます！

Answer 2

何でそんな変なこと（失礼）を考えているのか理解できません。単純に 2 回クエリを投げるとか、それが嫌ならストアドプロシージャを使ったらいかがですか？

Comments

[nyamuii]

他の箇所と書き方を統一したかったので…（ぴえん）
2回投げるしかなさそうですね。ストアドプロシージャ…調べてきます！ありがとうございます！！

Answer 3

あくまで値をバインドする仕組みなので（これは言語問いません）
カラムやSQLそのものはバインドできません。
直に書いてください。

Comments

[nyamuii]

そういった仕様ということを知りませんでした…勉強になりました。ありがとうございます！

[m.ts10806]

「何のためにパラメータバインドを使うのか」目的から辿れば明白と思います。