如何在C#中安全处理SQL Server的用户输入列名？

由于SQL无法将列名作为参数绑定，针对用户输入的columnName，必须通过以下方式确保安全，优先级从高到低：

1. 白名单验证（最可靠方案） #

提前维护目标表的合法列名列表，只有当用户输入的列名存在于列表中时，才允许执行SQL操作。可以选择硬编码或从数据库元数据动态获取：

硬编码白名单（表结构固定时） #

// 预先定义允许的列名集合
var allowedColumns = new HashSet<string> { "UserName", "Age", "Phone", "Email" };
if (!allowedColumns.Contains(columnName))
{
    return false; // 非法列名，直接返回失败
}

从数据库元数据获取（表结构可能变化时） #

using (SqlConnection connection = new SqlConnection(ConnectionString))
{
    connection.Open();
    // 获取目标表的所有列名
    var schemaTable = connection.GetSchema("Columns", new[] { null, null, TableName });
    var allowedColumns = schemaTable.AsEnumerable()
                                   .Select(row => row["COLUMN_NAME"].ToString())
                                   .ToHashSet();
    if (!allowedColumns.Contains(columnName))
    {
        return false;
    }
}

2. 列名转义处理 #

SQL Server支持用方括号[]包裹列名来处理特殊字符或关键字，同时需要转义列名中本身包含的]（替换为]]）：

// 转义列名中的特殊字符
string escapedColumnName = "[" + columnName.Replace("]", "]]") + "]";
// 构建安全的SQL语句
string query = $"UPDATE {TableName} SET {escapedColumnName} = @value WHERE id = @id";

3. 危险字符过滤（辅助方案） #

额外过滤掉可能触发注入的字符或关键字，仅作为白名单/转义的补充，不能单独依赖：

var dangerousKeywords = new[] { ";", "--", "DROP", "ALTER", "INSERT", "DELETE" };
if (dangerousKeywords.Any(keyword => columnName.IndexOf(keyword, StringComparison.OrdinalIgnoreCase) >= 0))
{
    return false;
}

注意：转义仅能避免语法层面的注入，但无法阻止用户输入合法但逻辑错误的列名（比如输入WHERE作为列名），因此白名单是最安全的方案。

内容的提问来源于stack exchange，提问作者MidasN74