sql dinamica en vb.net

[carabaolaza]

hola, tengo un problema bastante complejo (para mi). Tengo una base de datos echa con VB.net (2010) en SQL Compact 3.5. El problema es que quiero hacer una query que verifique que el contenido de una columna se encuentre en una lista de strings de cantidad no definida, lei algo de sql dinamicas echas por codigo (siempre las hago con el generador de consultas) y queria saber como es porq se me complica

PD: Reitero que no se la cantidad de elementos de la lista, el usuario define la cantidad de palabras y necesito que verifique si alguna de esas es el contenido de la tabla

Esta es la consulta que genere con el vb.net, solamente necesitaria que @ lista sea efectivamente una lista de strings

SELECT p1.Codigo_producto, p1.Nombre_categoria, p1.Nombre_material, p1.Nombre_producto, p1.Material_secundario, p1.Precio, p1.Stock, p1.Descripcion, s1.Categoria
FROM Productos AS p1 INNER JOIN Subcategorias AS s1 ON p1.Nombre_categoria = s1.Nombre
WHERE p1.Nombre_material IN (@lista)

[geoneo]

si es una lista de palabras ¿No será mejor colocal un LIKE en vez del IN? ¿la lista de string es una lista generica o un array? y recuerda que si estás haciento consultas en la misma aplicación permites realizar inyecciones de sql, como mínima seguridad coloca en los string el método [.Replace("'", "''");] con esto evitas el legendario [' OR '1'='1] o [algo'; drop table user;].

Pero lo que tienes que hacer es contatenar [', '] entre cada string, además colocar ['] después de [IN (], Saludos.

P.D: lo que está entre corchetes es código .net.