使用PrepareAsync()时C# MySQL报Expected end of data packet异常求助

问题根源 #

1. 参数化查询的局限性：MySQL参数仅支持传递值类型参数（比如WHERE条件里的数值、字符串值），不能用来替换SQL标识符（列名、表名、排序字段这类语法元素）。调用PrepareAsync()时，驱动会预编译SQL语句，此时@columnName会被当作字符串值处理，导致生成的SQL逻辑错误，触发数据包异常。
2. 参数添加顺序错误：预编译需要提前知晓参数的存在和类型，你当前代码先调用PrepareAsync()再添加参数，顺序颠倒，进一步加剧了预编译的逻辑错误。

修正方案 #

排序字段无法用参数化处理，需通过白名单校验+字符串拼接实现（必须校验列名合法性，杜绝SQL注入）：

public async Task Test()
{
    string targetColumn = "alchemyXP";
    // 定义允许的列名白名单，避免SQL注入风险
    var validColumns = new List<string> { "alchemyXP", "name", "level", "createTime" };
    if (!validColumns.Contains(targetColumn))
        throw new ArgumentException("无效的排序字段");

    using MySqlConnection conn = new MySqlConnection(connection);
    await conn.OpenAsync();
    // 将合法列名拼接至SQL语句
    MySqlCommand cmd = new MySqlCommand($"SELECT * FROM characters WHERE deleted=0 ORDER BY {targetColumn} DESC", conn);
    
    using var reader = await cmd.ExecuteReaderAsync();
    while (await reader.ReadAsync())
    {
        var v = reader["alchemyXP"];
        var vv = reader["name"];
    }
}

补充说明 #

你之前不用PrepareAsync()时能正常运行，是因为驱动未预编译，直接将参数值拼入SQL（相当于把@columnName替换成字符串"alchemyXP"，碰巧让SQL语法合法），但这是驱动的非预期行为，存在严重SQL注入风险，绝不能作为正式解决方案。

内容的提问来源于stack exchange，提问作者therehere3