如何在SQL Server中安全编程创建用户指定数据库（防SQL注入）

这个问题确实踩中了SQL Server参数化查询的一个小坑——数据库名、表名这类对象标识符，是没法直接用参数化查询来替换的，这也是你之前尝试参数化失败的核心原因。下面咱们一步步解决这个问题：

为什么你的参数化尝试失败了？ #

SQL Server的参数化机制只支持替换查询中的「值」（比如WHERE id = @id里的@id），而像数据库名这种属于「对象标识符」，SQL Server不会把@dbName解析成数据库名，只会把它当成一个普通字符串，所以CREATE DATABASE @dbName会直接报错。这不是你的代码写错了，而是SQL Server本身不支持这种用法。

安全的解决方案：验证+QUOTENAME+参数化动态SQL #

既然不能直接参数化数据库名，我们可以通过「输入验证+SQL内置的QUOTENAME函数+参数化动态SQL」的组合来规避注入风险，同时保留用户指定数据库名的灵活性：

步骤1：先做输入合法性验证 #

在把用户输入的数据库名传到SQL之前，先在C#里做基础校验，从源头过滤非法输入：

if (string.IsNullOrWhiteSpace(StrDBName) || StrDBName.Length > 128)
{
    throw new ArgumentException("数据库名不能为空，且长度不能超过128个字符");
}

// 检查是否包含文件路径非法字符（数据库文件名不允许这些字符）
char[] invalidPathChars = Path.GetInvalidFileNameChars();
if (StrDBName.IndexOfAny(invalidPathChars) != -1)
{
    throw new ArgumentException("数据库名包含非法字符");
}

步骤2：用QUOTENAME函数处理数据库名 #

SQL Server的QUOTENAME()函数会自动把输入的字符串转换成安全的SQL标识符。比如如果用户输入恶意内容test]; DROP DATABASE demo;--，QUOTENAME会把它转换成[test]; DROP DATABASE demo;--]，这样恶意语句就会被当成数据库名的一部分，不会被执行。

步骤3：用sp_executesql执行参数化动态SQL #

我们用sp_executesql来执行动态生成的创建数据库语句，同时把文件路径作为参数传递——这样既解决了数据库名的动态生成问题，又保证了路径的参数化安全。

最终的完整代码示例：

using System.Data.SqlClient;
using System.IO;

// 假设这些变量已经被正确初始化
string StrDBName = "用户输入的数据库名";
string strDataPath = @"C:\SQLData\";
string strLogPath = @"C:\SQLLogs\";
string connectionString = "你的数据库连接字符串（需连接到master库）";

// 先执行输入验证（上面的代码）
// ...

// 构建动态SQL语句
string createDbSql = @"
DECLARE @createSql NVARCHAR(MAX);
SET @createSql = N'CREATE DATABASE ' + QUOTENAME(@inputDbName) + N' 
ON PRIMARY 
(NAME = Data, 
 FILENAME = @dataFilePath, 
 FILEGROWTH = 1MB) 
LOG ON 
(NAME = Log, 
 FILENAME = @logFilePath, 
 FILEGROWTH = 10%) 
COLLATE Latin1_General_CI_AS;';

-- 执行动态SQL，同时参数化文件路径
EXEC sp_executesql @createSql, 
                   N'@dataFilePath NVARCHAR(260), @logFilePath NVARCHAR(260)',
                   @dataFilePath = @dataFilePath,
                   @logFilePath = @logFilePath;";

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();
    using (SqlCommand command = new SqlCommand(createDbSql, connection))
    {
        // 添加参数
        command.Parameters.AddWithValue("@inputDbName", StrDBName);
        // 用Path.Combine确保路径格式正确，避免手动拼接出错
        command.Parameters.AddWithValue("@dataFilePath", Path.Combine(strDataPath, $"{StrDBName}.mdf"));
        command.Parameters.AddWithValue("@logFilePath", Path.Combine(strLogPath, $"{StrDBName}_log.ldf"));

        // 执行创建命令
        command.ExecuteNonQuery();
    }
}

额外注意事项 #

• 权限检查：执行这段代码的数据库账号需要有CREATE DATABASE权限，同时要有写入到指定数据/日志路径的操作系统权限。
• 路径存在性：提前检查strDataPath和strLogPath是否存在，避免因为路径不存在导致数据库创建失败。
• 避免重复创建：可以先查询sys.databases视图，检查用户指定的数据库名是否已经存在，再执行创建操作。

内容的提问来源于stack exchange，提问作者Dominik Gattringer