C# EF Core(Sql Server)如何通过动态字段名构建过滤查询？

一、可以通过变量指定字段名构建查询 #

完全可以实现，最安全且类型友好的方式是通过表达式树（Expression Tree）动态生成过滤条件，避免硬编码字段名，同时支持组合多个过滤器。

示例实现步骤 #

1. 定义实体与过滤器结构

// Product实体对应数据库表
public class Product
{
    public long Id { get; set; }
    public string Name { get; set; }
    public int Status { get; set; }
}

// 过滤器模型，存储用户选择的字段名与过滤值
public class Filter
{
    public string FieldName { get; set; }
    public object Value { get; set; }
}

2. 动态构建过滤表达式
   编写方法将单个过滤器转换为LINQ表达式：

private static Expression<Func<Product, bool>> BuildSingleFilter(Filter filter)
{
    // 创建参数表达式（对应lambda中的p => ...）
    var param = Expression.Parameter(typeof(Product), "p");
    // 获取实体的指定属性
    var property = Expression.Property(param, filter.FieldName);
    // 将过滤值转换为与属性匹配的常量表达式
    var constant = Expression.Constant(filter.Value, property.Type);
    // 生成相等判断表达式（可根据需求替换为Contains、GreaterThan等）
    var equalExpr = Expression.Equal(property, constant);
    
    return Expression.Lambda<Func<Product, bool>>(equalExpr, param);
}

3. 组合多个过滤器并应用到查询
   将多个过滤器的表达式用AndAlso组合，再应用到EF Core查询：

public static IQueryable<Product> ApplyFilters(IQueryable<Product> query, IEnumerable<Filter> filters)
{
    if (!filters.Any()) return query;

    // 组合所有过滤器表达式
    var combinedFilter = filters.Select(BuildSingleFilter)
                                .Aggregate((prevFilter, nextFilter) => 
                                    Expression.Lambda<Func<Product, bool>>(
                                        Expression.AndAlso(prevFilter.Body, nextFilter.Body),
                                        prevFilter.Parameters.Single()));

    return query.Where(combinedFilter);
}

4. 调用示例

// 用户选择仅按Id过滤
var userFilters = new List<Filter>
{
    new Filter { FieldName = "Id", Value = 1001 }
};

using var dbContext = new YourDbContext();
var filteredProducts = ApplyFilters(dbContext.Products, userFilters).ToList();

二、不直接使用Where的替代方案 #

LINQ的过滤逻辑本质依赖Where方法，但如果想避免显式调用Where，可以采用原生SQL查询，但必须严格验证字段名防止SQL注入：

原生SQL实现示例 #

public static IQueryable<Product> ApplyFiltersWithRawSql(IQueryable<Product> query, Filter filter)
{
    // 验证字段名合法性，仅允许实体已定义的属性
    var validFields = typeof(Product).GetProperties().Select(p => p.Name).ToList();
    if (!validFields.Contains(filter.FieldName))
    {
        throw new ArgumentException("无效的过滤字段");
    }

    // 使用参数化查询避免注入
    var sql = $"SELECT * FROM Products WHERE {filter.FieldName} = @value";
    return query.FromSqlRaw(sql, new SqlParameter("@value", filter.Value));
}

注意：原生SQL方式虽然绕开了LINQ的Where，但需要额外做字段名白名单校验，否则存在注入风险，优先推荐表达式树方案。

内容的提问来源于stack exchange，提问作者dns_nx