使用NpgsqlParameter执行CREATE USER出现语法错误，求帮助

你遇到的错误是因为PostgreSQL不支持对标识符（比如用户名、表名这类数据库对象名称）使用参数化查询——参数化仅适用于传递数据值（比如SELECT语句WHERE条件里的字符串、数值）。当你用@p1作为用户名时，PostgreSQL解析器会把它当成值参数（对应底层的$1），但CREATE USER后面需要的是合法的标识符，因此抛出语法错误。

正确的处理方式是用Npgsql提供的标识符转义方法，既避免SQL注入，又符合语法要求：

var username = "testuser";
// 用QuoteIdentifier安全转义用户名，自动处理特殊字符和注入风险
var escapedUsername = ((NpgsqlConnection)sqlConn).QuoteIdentifier(username);

using (var cmd = new NpgsqlCommand($"CREATE USER {escapedUsername}", (NpgsqlConnection)sqlConn))
{
    cmd.ExecuteNonQuery();
}

为什么这个方法安全？ #

QuoteIdentifier会自动把用户名用双引号包裹，若用户名包含特殊字符（比如空格、双引号、SQL关键字），还会正确转义（比如把双引号"替换为""）。例如用户名是test"user，转义后会变成"test""user"，既符合PostgreSQL的标识符规则，又不会触发SQL注入。

内容的提问来源于stack exchange，提问作者Pea Kay See Es