基于Dapper泛型仓储通过自定义属性指定表名是否存在安全风险？

这种通过自定义属性从实体类获取表名实现泛型仓储的方式，安全风险极低，且属于合理的实践方案，下面具体分析：

一、安全性分析 #

• 无外部注入风险：表名来源于编译期定义的[Table]属性，值是硬编码在代码中的，完全不受外部用户输入影响。不存在SQL注入的可能，因为恶意攻击者无法篡改编译后的属性值。
• 比构造函数传参更可控：相比构造函数传入表名的方案，这种方式将表名与实体类强绑定，避免了子类随意传入非法表名的问题，把表名的定义权限限制在实体层，更符合单一职责原则。

二、实践合理性 #

• 符合DRY原则：完美实现了泛型仓储的核心目标——复用基础CRUD逻辑，避免为每个表重复编写相同的增删改查代码，大幅减少冗余。
• 语义清晰易维护：表名直接标注在对应的实体类上，后续修改表名时只需修改实体的属性值，无需改动仓储层代码，维护成本更低。

三、可优化的健壮性建议 #

虽然当前方案已经足够安全，但可以做一些优化让代码更健壮：

1. 给表名添加标识符包裹
   避免表名是SQL关键字或包含特殊字符导致的语法错误，同时进一步加固安全性。可以直接用方括号包裹表名：

   private string _tableName = $"[{typeof(T).GetCustomAttribute<TableAttribute>()?.Name ?? throw new Exception("未找到Table属性。")}]";
   

   或者使用SQL Server的QUOTENAME函数动态处理（适合需要兼容不同标识符规则的场景）：

   // 在仓储方法中获取带引号的表名
   var quotedTableName = await connection.QuerySingleAsync<string>("SELECT QUOTENAME(@tableName)", new { tableName = _tableName });
   var query = $"""
       SELECT *
       FROM {quotedTableName}
       """;
   

2. 添加表名合法性验证
   可以在获取表名时，验证其是否符合SQL标识符的规则（比如不能包含单引号、分号等危险字符），提前抛出错误：

   private static readonly Regex ValidTableNameRegex = new Regex(@"^[a-zA-Z0-9_]+$");
   private string _tableName;
   
   public GeneralRepository(IConfiguration config)
   {
       _config = config;
       var tableAttr = typeof(T).GetCustomAttribute<TableAttribute>();
       if (tableAttr == null)
           throw new InvalidOperationException("实体类未标记Table属性。");
       
       if (!ValidTableNameRegex.IsMatch(tableAttr.Name))
           throw new InvalidOperationException($"非法表名：{tableAttr.Name}，仅允许字母、数字和下划线。");
       
       _tableName = tableAttr.Name;
   }
   

3. 缓存反射结果
   反射操作GetCustomAttribute虽然开销小，但如果频繁实例化仓储，可以缓存Type到表名的映射，提升性能：

   private static readonly Dictionary<Type, string> _tableNameCache = new Dictionary<Type, string>();
   private string _tableName;
   
   public GeneralRepository(IConfiguration config)
   {
       _config = config;
       if (!_tableNameCache.TryGetValue(typeof(T), out _tableName))
       {
           var tableAttr = typeof(T).GetCustomAttribute<TableAttribute>();
           if (tableAttr == null)
               throw new InvalidOperationException("实体类未标记Table属性。");
           
           _tableName = tableAttr.Name;
           _tableNameCache[typeof(T)] = _tableName;
       }
   }
   

4. 优化异常处理
   不要直接抛出原始异常，建议包装成自定义异常，携带更明确的上下文信息：

   catch (Exception ex)
   {
       throw new RepositoryException($"获取表{_tableName}数据失败", ex);
   }
   

   （需要自定义RepositoryException类）

内容的提问来源于stack exchange，提问作者kj49