如何用C#执行动态SQL查询？需要注意什么安全问题？

来源：这里教程网时间：2026-02-21 17:28:26 作者：

在C#中执行动态SQL查询通常通过 ADO.NET 实现，比如使用 SqlConnection、SqlCommand 和字符串拼接或参数化方式构建SQL语句。虽然动态SQL提供了灵活性，但也带来了安全风险，特别是SQL注入攻击。

如何执行动态SQL查询

以下是一个使用 SqlCommand 执行动态SQL的基本示例：

using (var connection = new SqlConnection(connectionString))
{
    connection.Open();
    string tableName = "Users";
    string condition = "Age > 30";
    // 动态构建SQL
    string sql = $"SELECT * FROM {tableName} WHERE {condition}";
    using (var command = new SqlCommand(sql, connection))
    {
        using (var reader = command.ExecuteReader())
        {
            while (reader.Read())
            {
                // 处理结果
            }
        }
    }
}

上面的例子中，SQL语句是拼接生成的，适用于表名、列名等无法通过参数传递的场景。

必须注意的安全问题：SQL注入

直接拼接用户输入到SQL语句中非常危险。攻击者可能通过构造恶意输入篡改SQL逻辑，例如：

输入条件为：
1=1; DROP TABLE Users; --
，可能导致删除表。绕过登录验证：
' OR '1'='1
可能使身份检查失效。

参数化查询能有效防止这类攻击，但仅适用于 值（values），不能用于表名、列名、关键字（如 ORDER BY、WHERE）等SQL结构部分。

安全实践建议

优先使用参数化查询：对于 WHERE 条件中的值，始终使用 SqlParameter。

string sql = "SELECT * FROM Users WHERE Age > @age";
command.Parameters.AddWithValue("@age", userAge);

避免拼接用户输入：不要将用户输入直接插入SQL字符串，尤其是表名、列名。 若必须拼接对象名，使用白名单校验：例如，限制表名为程序内预定义的几个选项。
if (!new[] { "Users", "Orders", "Products" }.Contains(tableName)) throw new ArgumentException("Invalid table name");
使用引号包裹标识符：用方括号（SQL Server）或反引号（MySQL）包裹动态对象名，减少语法错误和注入风险。
string sql = $"SELECT * FROM [{tableName}]";
最小权限原则：数据库账户应仅具备必要权限，避免使用 sa 或高权限账号执行应用查询。 日志记录与监控：记录异常SQL执行行为，有助于发现潜在攻击。