使用参数化查询时如何将SQL与C#代码分离？

1. 独立管理SQL文件 #

为不同版本的查询创建单独的文本文件，比如MyTable_FilterByNumericValue.sql，直接写入多行SQL（使用命名参数占位符）：

select *
from mytable
where numericValue >= @MinNumericValue
limit 10;

把这些文件放在项目的SqlQueries目录下，设置文件属性为复制到输出目录（选择"始终复制"或"较新时复制"），确保程序运行时能读取到文件内容。

2. 编写SQL读取辅助方法 #

封装一个工具类统一读取SQL文件，避免重复代码：

public static class SqlQueryHelper
{
    public static string ReadSqlFile(string fileName)
    {
        var baseDir = AppDomain.CurrentDomain.BaseDirectory;
        var filePath = Path.Combine(baseDir, "SqlQueries", fileName);
        return File.ReadAllText(filePath);
    }
}

3. 结合参数化查询调用 #

方式一：使用FromSqlRaw配合SqlParameter（多参数场景推荐） #

这种方式逻辑清晰，完全分离SQL与参数，避免SQL注入：

// 读取SQL文件内容
var sql = SqlQueryHelper.ReadSqlFile("MyTable_FilterByNumericValue.sql");

// 定义参数
var parameters = new[]
{
    new SqlParameter("@MinNumericValue", dynamicNumericValueHere),
    // 多参数场景可继续添加，比如new SqlParameter("@MaxTime", DateTime.Now)
};

// 执行参数化查询
var myResult = dbContext.MyTable
    .FromSqlRaw(sql, parameters)
    .ToList();

方式二：使用FromSqlInterpolated（自动参数化） #

如果习惯用插值表达式，可将SQL文件中的占位符改为{变量名}格式：
SQL文件内容：

select *
from mytable
where numericValue >= {minValue}
limit 10;

代码调用时直接传入变量，EF Core会自动将插值变量转为参数化查询：

var sqlTemplate = SqlQueryHelper.ReadSqlFile("MyTable_FilterByNumericValue.sql");
var myResult = dbContext.MyTable
    .FromSqlInterpolated(string.Format(sqlTemplate, minValue: dynamicNumericValueHere))
    .ToList();

进阶：用资源文件管理SQL #

如果不想维护大量文本文件，可使用.resx资源文件统一管理：

1. 新建SqlQueries.resx资源文件，添加键值对（比如键MyTable_FilterByNumericValue对应SQL内容）。
2. 编写读取资源的方法：

public static string GetSqlFromResource(string key)
{
    return SqlQueries.ResourceManager.GetString(key);
}

3. 调用方式与上述一致，仅替换SQL读取逻辑即可。

注意事项 #

• 确保SQL文件中的参数占位符与代码中的参数名称完全匹配，避免拼写错误。
• 禁止使用字符串拼接参数的方式，必须依赖EF Core的参数化查询机制防止SQL注入。
• 部署时确认SQL文件/资源文件已被正确复制到输出目录，避免出现文件找不到的异常。

内容的提问来源于stack exchange，提问作者LePrinceDeDhump