EF Core 6中使用FromSqlRaw调用存储过程如何启用命名参数？

问题描述 #

我需要调用一个包含3至20个参数的存储过程，将请求模型的属性值转换为SQL字符串和参数列表后，通过FromSqlRaw执行。但调试时发现EF生成的是位置参数形式的调用语句，而我需要生成带参数赋值的命名参数形式。

示例代码：

public class RequestModel 
{
    public string Property1 { get; set; }
    public string Property2 { get; set; }
    public string Property3 { get; set; }
    // 更多属性...
}

public class ResponseModel 
{
    public string Response1 { get; set; }
    public string Response2 { get; set; }
    // 更多属性...
}

var sqlString = "exec sp_dummy @prop1, @prop2, @prop3";
var parameters = new SqlParameter[] { 
    new SqlParameter("@prop1", request.Property1),  
    new SqlParameter("@prop2", request.Property2),  
    new SqlParameter("@prop3", request.Property3) 
};

return await ResponseModel.FromSqlRaw(sqlString, parameters).ToListAsync();

当前EF生成的SQL：

DECLARE @prop1 nvarchar(10) = N'Prop1Data';
DECLARE @prop2 nvarchar(10) = N'Prop2Data';
DECLARE @prop3 nvarchar(10) = N'Prop3Data';

exec dummy_sp @prop1, @prop2, @prop3

期望生成的SQL：

exec dummy_sp @prop1 = N'Prop1Data' , @prop2 = N'Prop2Data', @prop3 = N'Prop3Data'

解决方案 #

方式1：构造命名参数格式的SQL语句（推荐，保持参数化防注入） #

EF Core的参数化机制会自动生成DECLARE语句，但我们可以修改SQL字符串的写法，让exec部分使用命名参数的赋值语法，这样生成的执行语句就会明确指定参数名，同时保留参数化的安全性。

修改后的代码：

// 构造带命名参数赋值的SQL字符串
var sqlString = "exec sp_dummy @prop1 = @prop1, @prop2 = @prop2, @prop3 = @prop3";
var parameters = new SqlParameter[] { 
    new SqlParameter("@prop1", request.Property1),  
    new SqlParameter("@prop2", request.Property2),  
    new SqlParameter("@prop3", request.Property3) 
};

return await ResponseModel.FromSqlRaw(sqlString, parameters).ToListAsync();

此时EF生成的SQL会变成：

DECLARE @prop1 nvarchar(10) = N'Prop1Data';
DECLARE @prop2 nvarchar(10) = N'Prop2Data';
DECLARE @prop3 nvarchar(10) = N'Prop3Data';

exec dummy_sp @prop1 = @prop1, @prop2 = @prop2, @prop3 = @prop3

这种方式既满足了命名参数的匹配需求，又避免了SQL注入风险，同时兼容存储过程的默认参数（可跳过部分参数赋值）。

方式2：动态生成直接赋值的SQL语句（不推荐，存在注入风险） #

如果必须生成直接在exec中赋值的语句，需要手动拼接SQL字符串，但这种方式会引入SQL注入风险，仅在参数值完全可信的场景下使用。

示例代码：

// 注意：仅当参数值完全可信时使用，否则会有SQL注入风险
var sqlParts = new List<string>();
if (!string.IsNullOrEmpty(request.Property1))
    sqlParts.Add($"@prop1 = N'{SqlEscape(request.Property1)}'");
if (!string.IsNullOrEmpty(request.Property2))
    sqlParts.Add($"@prop2 = N'{SqlEscape(request.Property2)}'");
if (!string.IsNullOrEmpty(request.Property3))
    sqlParts.Add($"@prop3 = N'{SqlEscape(request.Property3)}'");

var sqlString = $"exec dummy_sp {string.Join(", ", sqlParts)}";
return await ResponseModel.FromSqlRaw(sqlString).ToListAsync();

// 辅助方法：转义SQL字符串中的特殊字符
private string SqlEscape(string input)
{
    return input.Replace("'", "''");
}

关键说明 #

EF Core默认生成DECLARE语句是为了实现参数化查询，防止SQL注入，这是安全最佳实践。如果核心需求是确保存储过程按参数名匹配（而非位置），方式1已经完全满足，无需刻意去掉DECLARE语句。

内容的提问来源于stack exchange，提问作者bugrasitemkar