如何创建名称动态传入的临时SQL表？解决Sonar参数化提示

你的代码功能正常，但Sonar触发警告是因为直接拼接字符串到SQL语句中存在潜在SQL注入风险（尽管这里用Guid生成表名风险极低，但Sonar会识别这种不安全的编码模式）。由于SQL无法直接对表名这类对象名进行参数化，我们可以通过以下两种安全方式解决：

方案一：使用QUOTENAME和sp_executesql执行安全动态SQL #

这是处理SQL动态对象名的标准安全做法，QUOTENAME会自动转义非法字符，彻底避免注入风险：

string temporaryTableName = $"TempTable_{Guid.NewGuid().ToString().Replace("-", "")}";

// 使用sp_executesql和QUOTENAME确保表名安全
string createTempTableQuery = @"
DECLARE @fullTempTableName NVARCHAR(128) = N'#' + @tableName;
EXEC sp_executesql N'
CREATE TABLE ' + QUOTENAME(@fullTempTableName) + N' (
    [StockDetailsKey] [bigint] IDENTITY(1, 1) NOT NULL,
    [ClientKey] [int] NULL,
    [AddedOn] [datetime] NULL,
    [ModifiedOn] [datetime] NULL
)';
";

sqlCommand.CommandText = createTempTableQuery;
sqlCommand.Parameters.Add("@tableName", SqlDbType.NVarChar, 128).Value = temporaryTableName;
sqlCommand.ExecuteNonQuery();

方案二：验证表名合法性后拼接 #

由于你生成的表名是Guid去掉横杠后的字符串（仅包含字母和数字），可以先验证表名符合SQL标识符规则，消除Sonar对注入风险的担忧：

using System.Text.RegularExpressions;

string temporaryTableName = $"TempTable_{Guid.NewGuid().ToString().Replace("-", "")}";

// 验证表名仅包含合法字符（字母、数字、下划线）
if (!Regex.IsMatch(temporaryTableName, @"^[A-Za-z0-9_]+$"))
{
    throw new ArgumentException("临时表名包含非法字符");
}

string createTempTableQuery = $"CREATE TABLE #{temporaryTableName} (" +
    "[StockDetailsKey][bigint] IDENTITY(1, 1) NOT NULL, " +
    "[ClientKey][int] NULL, " +
    "[AddedOn] [datetime] NULL, " +
    "[ModifiedOn] [datetime] NULL " +
    ")";

sqlCommand.CommandText = createTempTableQuery;
sqlCommand.ExecuteNonQuery();

补充说明 #

SQL Server中以#开头的临时表是会话级别的，不同会话的临时表相互独立，无需担心命名冲突问题。

内容的提问来源于stack exchange，提问作者Alexa Adrian