EF Core 8中使用RawSql处理大型SQL查询的最佳实践

首先明确：你纠结的两个方案都不推荐，核心问题是它们都存在SQL注入风险，且处理复杂参数容易出错：

• 直接用字符串插值拼参数（$"select * from x where column = '{myParameter}'"）会把参数值直接嵌入SQL语句，完全暴露在SQL注入攻击下，绝对不能用。
• Regex.Replace替换参数本质还是字符串拼接，同样有注入风险，遇到带特殊字符（比如单引号、反斜杠）的参数时，还会导致SQL语法错误。

正确的做法：利用EF Core的参数化查询支持 #

不管SQL脚本存在.sql文件还是写在类中，都要通过EF Core的参数绑定机制传递参数，而非手动替换字符串。

方案1：从.sql文件读取脚本 + 参数绑定

1. 将大型SQL脚本放在项目的.sql文件中（比如/Queries/LargeOrderQuery.sql），脚本里使用对应数据库的参数占位符（SQL Server用@参数名，PostgreSQL用$参数名，MySQL用@参数名或?参数名），示例：

   SELECT * FROM Orders
   WHERE OrderDate >= @StartDate
     AND CustomerId = @CustomerId
     AND TotalAmount > @MinAmount
   

2. 代码中读取文件内容，配合SqlParameter传递参数执行：

   // 读取SQL文件（注意路径根据项目部署情况调整）
   var sqlContent = File.ReadAllText(Path.Combine(AppContext.BaseDirectory, "Queries/LargeOrderQuery.sql"));
   
   // 定义参数
   var parameters = new[]
   {
       new SqlParameter("@StartDate", new DateTime(2023, 1, 1)),
       new SqlParameter("@CustomerId", 123),
       new SqlParameter("@MinAmount", 500)
   };
   
   // 查询实体列表
   var orders = dbContext.Orders.FromSqlRaw(sqlContent, parameters).ToList();
   
   // 执行非查询操作（比如更新/删除）
   // var affectedRows = dbContext.Database.ExecuteSqlRaw(sqlContent, parameters);
   

方案2：在类中编写带占位符的SQL + 参数绑定

如果选择在代码里写SQL，不要用普通字符串插值，而是用参数占位符，再传递参数：

var sql = @"
    SELECT * FROM Orders
    WHERE OrderDate >= @StartDate
      AND CustomerId = @CustomerId
";

var parameters = new[]
{
    new SqlParameter("@StartDate", startDate),
    new SqlParameter("@CustomerId", customerId)
};

var orders = dbContext.Orders.FromSqlRaw(sql, parameters).ToList();

也可以用更简洁的FromSqlInterpolated——EF Core会自动把插值变量转换为参数，完全避免注入风险，这和你之前想的直接字符串插值有本质区别：

var orders = dbContext.Orders.FromSqlInterpolated($@"
    SELECT * FROM Orders
    WHERE OrderDate >= {startDate}
      AND CustomerId = {customerId}
").ToList();

额外建议 #

• 超大型SQL脚本优先放在.sql文件中，便于用数据库工具做语法检查、格式化，也能和代码逻辑分离，更易维护。
• 测试时可以开启EF Core的日志功能，查看最终生成的SQL语句，确认参数是否正确绑定。
• 注意不同数据库的参数占位符格式差异，避免因占位符错误导致执行失败。

内容的提问来源于stack exchange，提问作者Hickori