SqlCommand中使用参数传递列名执行SELECT DISTINCT查询时返回列名而非列值的问题咨询

你遇到的这个问题其实是SQL参数化查询的一个常见误区——SQL参数只能用来传递值，不能用来传递数据库对象的标识符（比如列名、表名）。

当你用sqlCommand.Parameters.AddWithValue("col", col_Name)把列名作为参数传入时，SQL Server会把它当成一个字符串字面量来处理，你的查询实际上变成了：

SELECT DISTINCT '列名' FROM 你的表名

这就难怪你读到的是列名本身了，因为这个查询返回的就是一个固定的字符串值（你的列名字符串），而不是对应列的实际数据。

解决方法 #

既然不能用参数传递列名，那我们需要换一种方式来动态构建列名，但这里要注意SQL注入风险，所以得先做安全校验：

1. 先校验列名的合法性：利用你已有的dt_main（包含合法列信息的DataTable），确保要查询的列名确实是目标表中存在的列
2. 直接拼接列名到SQL语句中（因为已经做了合法性校验，不用担心注入风险）

修改后的代码示例：

for (int i = 0; i < dt_main.Columns.Count - 1; i++)
{
    string col_Name = dt_main.Columns[i].Caption;
    // 校验列名是否存在于合法列集合中，避免非法列名导致的问题
    if (!dt_main.Columns.Cast<DataColumn>().Any(c => c.Caption.Equals(col_Name, StringComparison.OrdinalIgnoreCase)))
    {
        // 列名不合法时，可选择跳过或抛出提示
        continue;
    }
    // 直接拼接列名到SQL，给列名加[]是为了兼容含特殊字符/关键字的列名
    sqlCommand.CommandText = $"SELECT DISTINCT [{col_Name}] FROM {cmb_Table_Names.SelectedItem}";
    sqlCommand.Parameters.Clear(); // 这里不再需要参数，清空操作可保留也可移除
    sqlDataReader = sqlCommand.ExecuteReader();
    string value_in_table = "";
    while (sqlDataReader.Read())
    {
        value_in_table = sqlDataReader.GetString(0); // 现在就能读到正确的列值了
    }
    sqlDataReader.Close();
}

额外补充 #

• 给列名加上[]是为了处理列名包含空格、SQL关键字等特殊情况，避免出现语法错误。
• 关于SQL注入：因为你的列名是从已有的合法列集合dt_main中获取的，而非用户直接输入的内容，所以这样的拼接是安全的。如果是用户直接输入的列名，还需要额外做字符校验（比如只允许字母、数字和下划线），或者查询系统表确认列的合法性。

另外你提到尝试用sqlDataReader.GetString(1)，这肯定不行——因为你的查询只返回了一列，索引1超出了结果集的列范围，自然会报错。

内容的提问来源于stack exchange，提问作者Dominique