C#中EF Core FormattableString混合字符串插值与参数的实现方案

你遇到的核心问题是：EF Core会将FormattableString中所有插值表达式默认当作SQL参数处理，但你希望subSql（表名）直接拼入SQL，而id保持参数化（避免SQL注入）。以下是可行的解决方法：

方法1：先构造静态SQL模板，再手动创建FormattableString #

因为你的表名是通过内部逻辑生成的（而非用户输入），不存在注入风险，可以先拼接好静态SQL部分，再用FormattableStringFactory创建带参数的查询：

public IEnumerable<Something> GetSomethingWithEFCore(string id, string type)
{
    var tableName = type switch
    {
        "A" => "TableA",
        "B" => "TableB",
        _ => throw new ArgumentOutOfRangeException(nameof(type))
    };

    // 先拼接静态SQL片段，用{0}作为参数占位符
    string sqlTemplate = $"SELECT * FROM {tableName} WHERE Id = {{0}}";
    // 手动创建FormattableString，将id作为参数传入
    FormattableString sql = FormattableStringFactory.Create(sqlTemplate, id);

    // 执行EF Core查询
    return context.Database.SqlQuery<Something>(sql);
}

方法2：拆分静态与参数部分拼接 #

先拼好不含参数的静态SQL前缀，再通过FormattableString添加参数化条件：

public IEnumerable<Something> GetSomethingWithEFCore(string id, string type)
{
    var tableName = type switch
    {
        "A" => "TableA",
        "B" => "TableB",
        _ => throw new ArgumentOutOfRangeException(nameof(type))
    };

    // 静态SQL部分直接拼接完成
    string staticSql = $"SELECT * FROM {tableName}";
    // 用FormattableString组合静态部分与参数化条件
    FormattableString sql = $"{staticSql} WHERE Id = {id}";

    return context.Database.SqlQuery<Something>(sql);
}

关键注意事项 #

• 绝对保证静态内容的安全性：表名这类直接拼入SQL的内容，必须是程序内部定义的固定值，禁止使用用户输入或外部不可信数据，否则会引发SQL注入漏洞。
• 数据库对象名（表、列）无法通过参数化处理，只能直接拼入SQL，这是SQL的限制，不是EF Core的问题。

内容的提问来源于stack exchange，提问作者Samuel Wahlberg