动态IQueryable中字符串与日期的正确格式化问题

1. 日期判断逻辑错误：你用!string.IsNullOrEmpty(var4)判断DateTime变量完全不对——DateTime是值类型，永远不会为null，这个条件不仅逻辑无效，编译时还会报错。应该检查是否为默认值，比如var4 != DateTime.MinValue。
2. 日期格式拼接错误：直接把DateTime对象转成字符串拼接，生成的是本地格式的日期字符串，Linq to Entities无法正确解析，导致查询执行异常（比如全表扫描、语法错误），进而让应用挂起。
3. 字符串拼接的潜在风险：虽然你给字符串加了双引号，但如果字符串里包含双引号（比如var3 = "Doe, \"John\""），会直接破坏查询语法，还存在SQL注入风险。

方案1：临时应急的字符串拼接修正 #

如果暂时要继续用字符串拼接方式，需修正日期处理和判断逻辑：

string userFilter = string.Empty;
string var1 = "3";
string var2 = "54";
string var3 = "Doe, John";
DateTime var4 = DateTime.Now; // 注意DateTime.Now是属性，不是方法，原代码的DateTime.Now()会报错

IQueryable<MyClass> query = await _context.Table.GetData();

if (!string.IsNullOrEmpty(var1)) 
{
    userFilter += " column1 == " + var1 + " &&";
}

if (!string.IsNullOrEmpty(var2)) 
{
    userFilter += " column2 == " + var2 + " &&";
}

if (!string.IsNullOrEmpty(var3)) 
{
    // 用单引号包裹字符串，同时转义字符串内的单引号（替换为两个单引号）
    var escapedVar3 = var3.Replace("'", "''");
    userFilter += $" column3 == '{escapedVar3}' &&";
}

// 修正DateTime判断：检查是否不是默认值
if (var4 != DateTime.MinValue) 
{
    // 转成SQL能识别的ISO 8601格式，用单引号包裹
    var dateStr = var4.ToString("yyyy-MM-ddTHH:mm:ss");
    userFilter += $" column4 == '{dateStr}' &&";
}

// 去掉末尾多余的" &&"，原代码的TrimEnd('&')会把"&&"变成"&"，逻辑错误
if (userFilter.EndsWith(" &&"))
{
    userFilter = userFilter.Substring(0, userFilter.Length - 3);
}

query = query.Where(userFilter);

var myData = query.ToList();

方案2：推荐的参数化动态查询（无SQL注入风险） #

直接拼接字符串有安全隐患，用System.Linq.Dynamic.Core的参数化Where方法更稳妥：

using System.Linq.Dynamic.Core;

// ...

var parameters = new Dictionary<string, object>();
string userFilter = string.Empty;

if (!string.IsNullOrEmpty(var1)) 
{
    userFilter += " column1 == @var1 &&";
    parameters.Add("@var1", int.Parse(var1)); // 转成对应类型，避免字符串拼接
}

if (!string.IsNullOrEmpty(var2)) 
{
    userFilter += " column2 == @var2 &&";
    parameters.Add("@var2", int.Parse(var2));
}

if (!string.IsNullOrEmpty(var3)) 
{
    userFilter += " column3 == @var3 &&";
    parameters.Add("@var3", var3);
}

if (var4 != DateTime.MinValue) 
{
    userFilter += " column4 == @var4 &&";
    parameters.Add("@var4", var4);
}

if (userFilter.EndsWith(" &&"))
{
    userFilter = userFilter.Substring(0, userFilter.Length - 3);
}

// 传入参数执行查询
query = query.Where(userFilter, parameters.Values.ToArray());

var myData = query.ToList();

方案3：最安全的表达式树构建查询（类型检查严格） #

不想用第三方库的话，手动构建表达式树完全避免字符串拼接：

using System.Linq.Expressions;

// ...

Expression<Func<MyClass, bool>> filter = x => true;

if (!string.IsNullOrEmpty(var1)) 
{
    int val1 = int.Parse(var1);
    filter = filter.And(x => x.column1 == val1);
}

if (!string.IsNullOrEmpty(var2)) 
{
    int val2 = int.Parse(var2);
    filter = filter.And(x => x.column2 == val2);
}

if (!string.IsNullOrEmpty(var3)) 
{
    filter = filter.And(x => x.column3 == var3);
}

if (var4 != DateTime.MinValue) 
{
    filter = filter.And(x => x.column4 == var4);
}

query = query.Where(filter);

var myData = query.ToList();

需要额外添加一个And扩展方法来组合表达式：

public static Expression<Func<T, bool>> And<T>(this Expression<Func<T, bool>> left, Expression<Func<T, bool>> right)
{
    var param = Expression.Parameter(typeof(T));
    var combined = Expression.AndAlso(
        Expression.Invoke(left, param),
        Expression.Invoke(right, param)
    );
    return Expression.Lambda<Func<T, bool>>(combined, param);
}

• DateTime是值类型，不能用string.IsNullOrEmpty判断，要么检查是否为DateTime.MinValue，要么用DateTime?（可空日期类型）来表示可选日期。
• 生产环境尽量避免直接拼接查询字符串，优先用参数化查询或表达式树，杜绝SQL注入风险。
• 日期必须转成SQL能识别的标准格式（比如ISO 8601），避免本地格式导致的解析错误。

内容的提问来源于stack exchange，提问作者Diomedes