EF Core中使用ExecuteSqlAsync创建表时如何传递字段参数？

我有一个运行时创建表的方法：

public async Task CreateTable(string tableName, IEnumerable<DatabaseColumn> columns)
{
    var columnsString = string.Join(", ", columns.Select(GetColumnString));
    /// 示例columnsString内容：
    /// [field_1] NVARCHAR(50),
    /// [field_2] INT,
    /// [field_3] INT

    await _db.ExecuteSqlAsync($"CREATE TABLE [{tableName}] ({columnsString})");
}

执行后出现以下错误：

Microsoft.EntityFrameworkCore.Database.Command[20102]
      Failed executing DbCommand (5ms) [Parameters=[@p0='?' (Size = 4000), @p1='?' (Size = 4000)], CommandType='Text', CommandTimeout='30']
      CREATE TABLE [@p0] (@p1)

API请求返回信息：

{
  "message": "Incorrect syntax near '@p1'."
}

我明白问题出在@p1这类参数通常只能用于传递值，而表名、列定义属于SQL结构部分，无法通过参数化传递。那该如何在ExecuteSqlAsync中传递这些参数来创建表？另外我尝试用ExecuteSqlRawAsync，但收到警告：

Warning EF1002  Method 'ExecuteSqlRawAsync' inserts interpolated strings directly into the SQL, without any protection against SQL injection. Consider using 'ExecuteSqlAsync' instead, which protects against SQL injection, or make sure that the value is sanitized and suppress the warning.

核心原因 #

ExecuteSqlAsync会将插值字符串中的变量自动转换为参数化查询的占位符，但表名、列定义这类SQL结构元素无法被参数化——参数化只支持传递数据值，不支持修改SQL语句的结构，因此才会出现@p0、@p1被错误替换导致的语法问题。

可行方案：使用ExecuteSqlRawAsync并做好注入防护 #

由于无法通过参数化传递SQL结构元素，必须使用ExecuteSqlRawAsync直接拼接SQL，但必须严格校验输入内容，避免SQL注入风险，同时可以合法抑制警告。

1. 添加输入校验逻辑

先对表名、列定义做严格校验，确保输入内容合法：

using System.Text.RegularExpressions;

private bool IsValidTableName(string tableName)
{
    // 限制表名仅包含字母、数字、下划线，且非空
    return !string.IsNullOrWhiteSpace(tableName) && Regex.IsMatch(tableName, @"^[a-zA-Z0-9_]+$");
}

private bool IsValidColumn(DatabaseColumn column)
{
    // 校验列名格式
    if (string.IsNullOrWhiteSpace(column.Name) || !Regex.IsMatch(column.Name, @"^[a-zA-Z0-9_]+$"))
        return false;
    
    // 限制允许使用的数据类型，避免恶意类型定义
    var allowedDataTypes = new HashSet<string> 
    { 
        "NVARCHAR", "INT", "DATE", "BIT", "DECIMAL", "VARCHAR", "DATETIME" 
    };
    return allowedDataTypes.Contains(column.Type.Trim().ToUpper());
}

2. 修改创建表的方法

加入校验逻辑，使用ExecuteSqlRawAsync并抑制警告（前提是已完成严格校验）：

public async Task CreateTable(string tableName, IEnumerable<DatabaseColumn> columns)
{
    // 校验表名合法性
    if (!IsValidTableName(tableName))
        throw new ArgumentException("表名格式非法，仅允许字母、数字和下划线");
    
    // 校验所有列的合法性
    var invalidColumns = columns.Where(col => !IsValidColumn(col)).ToList();
    if (invalidColumns.Any())
        throw new ArgumentException($"存在非法列定义：{string.Join(", ", invalidColumns.Select(c => c.Name))}");
    
    var columnsString = string.Join(", ", columns.Select(GetColumnString));
    
    // 抑制EF1002警告，因为已完成输入校验
#pragma warning disable EF1002
    await _db.ExecuteSqlRawAsync($"CREATE TABLE [{tableName}] ({columnsString})");
#pragma warning restore EF1002
}

关键注意事项 #

• 永远不要跳过输入校验：直接使用未校验的用户输入拼接SQL会导致严重的SQL注入漏洞，必须确保表名、列名、数据类型都是可控、合法的。
• 警告抑制的前提：只有在确认输入已被严格净化后，才可以抑制EF1002警告，否则不要忽略该提示。

内容的提问来源于stack exchange，提问作者Lesha Krut