如何在C#中安全参数化表名以防止SQL注入（Dapper场景）

你的代码已经通过SqlCommandBuilder.QuoteIdentifier对动态表名做了转义处理，这是防止SQL注入的有效手段，但SonarQube的静态扫描可能未识别到这个防护逻辑，因此触发了告警。以下是几种可行的解决方式：

1. 标记告警为假阳性 #

如果GetTableNameDynamically<TEntity>的表名来源是编译时可控的实体映射（比如基于实体类的特性、预设的映射配置），而非用户输入或不可信来源，直接在SonarQube中将该告警标记为假阳性即可。

2. 添加代码注释告知扫描器安全逻辑 #

在动态SQL生成的代码上方添加注释，明确说明已做防护，让SonarQube忽略该告警：

var tableName = GetTableNameDynamically<TEntity>();
using (var builder = new SqlCommandBuilder())
{
    tableName = builder.QuoteIdentifier(tableName);
}
// SonarQube忽略：已通过SqlCommandBuilder.QuoteIdentifier对表名做转义处理，无SQL注入风险
string qry = $"select case when exists(select 1 from {tableName} where Id = @Id) then 1 else 0 end";
return await sqlConnection.QuerySingleAsync<bool>(qry, new { Id = id }, sqlTransaction);

或者使用SonarQube专用的忽略注释：

// nosonar
string qry = $"select case when exists(select 1 from {tableName} where Id = @Id) then 1 else 0 end";

3. 添加表名白名单校验（进一步加固） #

如果需要更严谨的防护，可以从数据库元数据中获取所有合法表名，验证动态生成的表名是否在白名单内，彻底杜绝非法表名传入的可能：

var tableName = GetTableNameDynamically<TEntity>();
// 从数据库获取合法表名单（可缓存该结果避免重复查询）
var validTableNames = sqlConnection.Query<string>(
    "SELECT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_TYPE = 'BASE TABLE'");

if (!validTableNames.Contains(tableName, StringComparer.OrdinalIgnoreCase))
{
    throw new ArgumentException($"非法表名：{tableName}");
}

// 再做转义处理
using (var builder = new SqlCommandBuilder())
{
    tableName = builder.QuoteIdentifier(tableName);
}

string qry = $"select case when exists(select 1 from {tableName} where Id = @Id) then 1 else 0 end";
return await sqlConnection.QuerySingleAsync<bool>(qry, new { Id = id }, sqlTransaction);

内容的提问来源于stack exchange，提问作者Sumisha Sankar