WQL是否支持参数化查询？C#中如何规避代码注入风险？

核心结论 #

System.Management库确实不支持WQL的参数化查询，你需要手动对deviceId进行输入净化来防止注入风险。

手动净化的正确方式 #

WQL中字符串的单引号需要通过重复单引号来转义，因此你只需要将deviceId中的单引号替换为两个单引号即可：

var deviceId = myDiskDrive.DeviceId;
// 转义单引号，避免WQL注入
var sanitizedDeviceId = deviceId.Replace("'", "''");
var query = $"ASSOCIATORS OF {{Win32_DiskDrive='{sanitizedDeviceId}'}} WHERE ResultClass = Win32_DiskPartition";
var searcher = new ManagementObjectSearcher(@"root\cimv2", query);
return searcher.Get();

这种方式能确保即使deviceId包含恶意单引号，也不会破坏查询结构，从语法层面阻断注入可能。

更安全的替代方案：使用Microsoft.Management.Infrastructure（MI） #

如果你切换到Microsoft.Management.Infrastructure（WMI的现代替代库），可以完全避免拼接WQL字符串，通过实例关联查询来获取结果，彻底消除注入风险：

using Microsoft.Management.Infrastructure;

var localSession = CimSession.Create(null);
// 获取目标DiskDrive实例
var diskDriveInstance = localSession.GetInstance(
    namespaceName: @"root\cimv2",
    className: "Win32_DiskDrive",
    instanceId: deviceId
);
// 直接查询关联的DiskPartition实例
var partitions = localSession.Associators(
    instance: diskDriveInstance,
    resultClass: "Win32_DiskPartition",
    associationClass: "Win32_DiskDriveToDiskPartition"
);
return partitions;

这种方式通过CIM会话的关联查询API直接操作实例，无需手动构建查询字符串，安全性更高。

关于System.Data.Objects.ObjectQuery的说明 #

System.Data.Objects.ObjectQuery是Entity Framework的组件，和WMI/CIM查询属于完全不同的技术栈，不存在支持该类型的WMI搜索器，两者无法混用。

内容的提问来源于stack exchange，提问作者Jonathan Siegel