EF+NpgSql中使用字符串插值时SqlQuery执行失败，如何读取响应？

EF Core 的 Database.SqlQuery(FormattableString) 是为参数化查询设计的——它会把格式化字符串里的变量转换成 SQL 参数，而不是直接做字符串替换。

• 第一个例子里，$"SELECT * FROM tenant" 没有占位符变量，生成的是静态 SQL，直接执行自然没问题。
• 第二个例子中，{ParsedVariable} 会被 EF 当作参数处理，最终生成的 SQL 是 SELECT * FROM @p0。PostgreSQL 收到后会把 @p0 的值（字符串"tenant"）当作普通值解析，而不是表名。在你的实际场景里，因为查询返回的是 uuid 类型字段，数据库试图把字符串"tenant"转成 uuid，就抛出了 invalid input syntax for type uuid: "@p0" 的错误。

SQL 参数只能用于查询里的值（比如 WHERE 条件的参数），不能用来指定表、列这类数据库对象名。要动态指定表名，得换方式，同时必须防 SQL 注入：

1. 先验证表名合法性：把允许的表名存到一个列表里，检查传入的表名是否在列表中，杜绝恶意输入。
2. 安全拼接 SQL：验证通过后，直接拼接 SQL 字符串，再调用 SqlQuery 的字符串重载。

示例代码：

// 预定义可信的表名列表，防止SQL注入
var allowedTables = new HashSet<string> { "tenant", "user", "order" };
string ParsedVariable = "tenant";

if (!allowedTables.Contains(ParsedVariable))
{
    throw new ArgumentException("非法的表名");
}

// 安全拼接SQL语句
string sql = $"SELECT * FROM {ParsedVariable}";
IQueryable<string> query = _context.Database.SqlQuery<string>(sql);

别想用 FormattableString 动态替换表名，这和它的参数化设计初衷冲突。参数化查询是防注入用的，而动态表名的场景必须靠提前验证输入来保证安全。

内容的提问来源于stack exchange，提问作者Matt