C#中如何使用EF Core执行原始SQL查询？安全吗？

来源：这里教程网时间：2026-02-21 17:27:04 作者：

在C#中使用EF Core执行原始SQL查询是可行的，主要通过 FromSqlRaw、ExecuteSqlRaw 等方法实现。这类操作适用于复杂查询或性能优化场景，但需注意安全性。

1. 执行查询：FromSqlRaw 和 FromSqlInterpolated

当你需要从数据库中读取数据，并映射到实体类型时，可以使用 FromSqlRaw 或 FromSqlInterpolated：

FromSqlRaw：直接传入原始SQL字符串，适合静态SQL：

var blogs = context.Blogs
    .FromSqlRaw("SELECT * FROM Blogs WHERE Name LIKE '%{0}%'", searchTerm)
    .ToList();

FromSqlInterpolated：支持内插字符串，参数会自动参数化，更安全：

var blogs = context.Blogs
    .FromSqlInterpolated($"SELECT * FROM Blogs WHERE Name LIKE '%' + {searchTerm} + '%'")
    .ToList();

注意：SQL查询必须返回与实体对应的列，否则映射可能失败。

2. 执行非查询语句：ExecuteSqlRaw

用于执行 INSERT、UPDATE、DELETE 等操作：

context.Database.ExecuteSqlRaw(
    "UPDATE Blogs SET Name = {0} WHERE Id = {1}", newName, blogId);

同样推荐使用 ExecuteSqlInterpolated 来避免拼接字符串：

context.Database.ExecuteSqlInterpolated(
    $"UPDATE Blogs SET Name = {newName} WHERE Id = {blogId}");

3. 安全性问题与防范措施

直接拼接SQL字符串（如使用字符串格式化）容易导致 SQL注入 攻击。例如以下写法非常危险：

// 危险！不要这样做
var sql = $"SELECT * FROM Blogs WHERE Name = '{searchTerm}'";
context.Blogs.FromSqlRaw(sql);

正确做法是：

使用 FromSqlInterpolated 或 ExecuteSqlInterpolated，它们会自动将变量作为参数传递，防止注入。 若用 FromSqlRaw，确保所有用户输入都通过参数占位符传入，而不是字符串拼接。 避免将用户输入直接拼进SQL语句。