如何在Entity Framework Core的ExecuteSqlInterpolated方法中动态传入存储过程名

直接将硬编码的存储过程名替换为传入的spName参数即可，但要注意SQL注入风险，必须对存储过程名做合法性校验，同时优化异步调用的写法：

public async Task<int> Report(string sStartDate, string sEndDate, string spName)
{
    try
    {
        // 校验存储过程名合法性，避免SQL注入
        var allowedStoredProcedures = new List<string> { "UspReportClient", "UspAnotherProcedure", "UspThirdProcedure" };
        if (!allowedStoredProcedures.Contains(spName))
        {
            throw new ArgumentException("不允许调用该存储过程", nameof(spName));
        }

        var paramToDt = new SqlParameter("@TODATE", SqlDbType.VarChar)
        {
            Value = sStartDate
        };

        var paramFrmDt = new SqlParameter("@FROMDATE", SqlDbType.VarChar)
        {
            Value = sEndDate
        };

        // 替换硬编码的存储过程名为spName参数
        var data = await _dbContext.Database.ExecuteSqlInterpolatedAsync($"EXEC {spName} @TODATE={paramToDt},@FROMDATE={paramFrmDt}");

        return 0;
    }
    catch (Exception ex)
    {
        // 直接throw保留原始堆栈信息，不要throw ex
        throw;
    }    
}

核心修改点说明 #

• 动态替换存储过程名：把原代码中硬编码的UspReportClient替换为方法参数spName，实现动态指定调用的存储过程。
• SQL注入防护：通过白名单校验spName，只允许调用预先定义的合法存储过程，避免恶意注入（因为存储过程名无法通过参数化查询处理，必须手动校验）。
• 优化异步调用：移除多余的Task.Run，因为ExecuteSqlInterpolatedAsync本身就是异步方法，直接await即可，无需额外包装。
• 异常处理优化：catch块中直接throw而不是throw ex，保留原始异常的堆栈跟踪信息，便于排查问题。

内容的提问来源于stack exchange，提问作者Shibu