如何使用Entity Framework Core 7动态调用带参数的存储过程？

我有一个API控制器端点，允许调用方动态执行存储过程。该控制器方法接收请求模型GenericSprocRequest，其中包含存储过程名称和参数字典（键为参数名，值为参数值）。请求模型示例如下：

public class GenericSprocRequest
{
    public string SprocName { get; set; }
    public Dictionary<string, string> Parameters { get; set; }
}

请求示例：

{
  "SprocName":"dbo.UpdateCustomer",
  "Parameters":
  {
     "CustName": "John Doe",
     "CustPhone": "404-555-1212"
  }
}

请问，如何使用Entity Framework Core 7基于该字典构建参数列表，并传入存储过程调用？

在EF Core 7中，你可以通过以下步骤实现动态调用带参数的存储过程：

1. 转换参数字典为安全的SQL参数集合 #

将请求中的Dictionary<string, string>转换为SqlParameter数组，这是避免SQL注入的核心操作，同时能确保参数被正确传递到数据库。

2. 构建存储过程调用语句 #

用参数占位符拼接存储过程执行语句，保留存储过程的完整名称（包含架构名如dbo.）。

3. 执行存储过程 #

根据存储过程是否返回数据，选择对应的执行方法：无返回结果用ExecuteSqlRawAsync，需返回实体数据用FromSqlRaw。

完整控制器示例代码 #

using Microsoft.AspNetCore.Mvc;
using Microsoft.EntityFrameworkCore;
using System.Data.SqlClient;

[ApiController]
[Route("api/[controller]")]
public class SprocController : ControllerBase
{
    private readonly YourDbContext _dbContext;

    public SprocController(YourDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    [HttpPost("execute")]
    public async Task<IActionResult> ExecuteSproc([FromBody] GenericSprocRequest request)
    {
        if (string.IsNullOrEmpty(request.SprocName) || request.Parameters == null)
        {
            return BadRequest("存储过程名称和参数不能为空");
        }

        // 将字典参数转为SqlParameter数组，处理空值为DBNull.Value
        var sqlParameters = request.Parameters
            .Select(kv => new SqlParameter($"@{kv.Key}", kv.Value ?? DBNull.Value))
            .ToArray();

        // 拼接存储过程执行语句
        var sprocCall = $"EXEC {request.SprocName} {string.Join(", ", sqlParameters.Select(p => p.ParameterName))}";

        try
        {
            // 无返回结果的存储过程调用
            await _dbContext.Database.ExecuteSqlRawAsync(sprocCall, sqlParameters);
            
            // 如果存储过程返回实体数据，替换为以下代码（需替换为你的实体类型）
            // var results = await _dbContext.YourTargetEntity.FromSqlRaw(sprocCall, sqlParameters).ToListAsync();
            // return Ok(results);

            return Ok("存储过程执行成功");
        }
        catch (Exception ex)
        {
            return StatusCode(500, $"执行存储过程出错：{ex.Message}");
        }
    }
}

// 请求模型
public class GenericSprocRequest
{
    public string SprocName { get; set; }
    public Dictionary<string, string> Parameters { get; set; }
}

关键注意事项 #

• SQL注入防护：必须使用SqlParameter传递参数，绝对不能直接将参数值拼接进SQL语句，否则会引发严重安全漏洞。
• 空值处理：参数值为null时要替换为DBNull.Value，避免数据库接收无效空值导致报错。
• 存储过程白名单：建议对传入的SprocName做白名单校验，只允许调用预先授权的存储过程，防止恶意调用未授权的数据库操作。
• 返回数据匹配：如果存储过程需要返回数据，要确保实体类的字段与存储过程返回结果的字段完全匹配，否则会出现映射错误。

内容的提问来源于stack exchange，提问作者ihatemash