ASP.NET Core中ExecuteSqlRawAsync参数化查询防SQL注入有效性及替代方案问询

是的，使用带参数化查询的ExecuteSqlRawAsync是防范SQL注入攻击的合理且有效的方式。

为什么你的示例能防注入？ #

你给出的代码是标准的参数化查询写法：

string sqlQuery = @"UPDATE MyTable 
                    SET MyTableItemName = @newName 
                    WHERE MyTableItemId = @id;";

await _context.Database.ExecuteSqlRawAsync(
                sqlQuery,
                new SqlParameter("@newName", "Test name"),
                new SqlParameter("@id", 1));

这里的核心是SQL语句中的@newName和@id是参数占位符，而非直接拼接的字符串内容。数据库引擎会把SQL语句结构和参数数据分开解析执行，不会将参数值（哪怕是恶意输入）当作SQL代码的一部分去运行，从根源上切断了SQL注入的可能。

若参数来自客户端，该查询能否有效防注入？ #

完全可以。只要你始终保持参数与SQL语句分离的写法，绝不把客户端输入直接拼接进SQL字符串，无论参数内容是什么，都不会引发SQL注入。比如客户端传入恶意字符串'; DROP TABLE MyTable; --作为@newName的值，数据库只会把它当作普通字符串存入字段，不会执行其中的恶意SQL代码。

除LINQ查询外的替代方案 #

如果因业务需求无法使用LINQ，还有这些可靠的参数化查询方案：

• 使用FromSqlRaw（查询场景）：和ExecuteSqlRawAsync原理一致，用于查询数据时的写法示例：

  var items = await _context.MyTable.FromSqlRaw(
      "SELECT * FROM MyTable WHERE MyTableItemId = @id",
      new SqlParameter("@id", clientInputId)
  ).ToListAsync();
  

• Dapper参数化查询：轻量级ORM Dapper天生支持参数化，写法简洁：

  await connection.ExecuteAsync(
      "UPDATE MyTable SET MyTableItemName = @newName WHERE MyTableItemId = @id",
      new { newName = clientInputName, id = clientInputId }
  );
  

• 调用存储过程：将逻辑封装在数据库存储过程中，通过参数调用，存储过程内部用参数化处理：

  await _context.Database.ExecuteSqlRawAsync(
      "EXEC UpdateMyTableItem @newName, @id",
      new SqlParameter("@newName", clientInputName),
      new SqlParameter("@id", clientInputId)
  );
  

• 手动构建DbCommand：直接创建SqlCommand对象，灵活控制命令和参数：

  using var command = _context.Database.GetDbConnection().CreateCommand();
  command.CommandText = "UPDATE MyTable SET MyTableItemName = @newName WHERE MyTableItemId = @id";
  command.Parameters.Add(new SqlParameter("@newName", clientInputName));
  command.Parameters.Add(new SqlParameter("@id", clientInputId));
  await command.ExecuteNonQueryAsync();
  

内容的提问来源于stack exchange，提问作者StanSm789