如何在C#中安全删除SQL Server表以避免代码注入

问题背景 #

你尝试用参数化查询删除指定表时遇到报错Incorrect syntax near '@table'，这是因为SQL Server不允许用参数代替表名、列名这类标识符——参数化仅适用于SQL语句中的值（比如WHERE子句里的条件值），不能用来替换标识符。直接拼接表名又会面临SQL注入风险，需要找到安全的标识符转义方式。

初始代码报错原因 #

这段代码里，DROP TABLE @table中的@table是作为标识符使用的，而SQL Server的参数化机制无法识别参数作为标识符，因此会抛出语法错误。

安全解决方案：正确转义标识符 #

要安全拼接表名，必须按照SQL Server的规则对标识符进行转义，你在编辑2中实现的两种转义方式是正确且安全的，下面详细说明：

1. 两种转义的作用

• 单引号转义（tableSafeQuoted）：用于object_id函数，SQL Server中字符串内的单引号需要用两个单引号表示，替换后可以避免字符串注入，确保object_id能正确识别表名。
• 方括号转义（tableSafeBracketed）：用于DROP TABLE语句，SQL Server用方括号包裹标识符来处理包含特殊字符（空格、关键字、特殊符号）的表名，转义右括号（]→]]）是为了防止提前闭合方括号，处理点号（.→.[）则是为了正确拆分schema和表名（比如dbo.table会被转成[dbo].[table]）。

2. 更可靠的官方方案：使用SqlCommandBuilder.QuoteIdentifier

自己写转义逻辑虽然可行，但微软提供了官方的标识符转义方法SqlCommandBuilder.QuoteIdentifier，它会根据当前数据库的规则自动处理所有特殊情况，无需手动维护替换逻辑，代码更简洁可靠：

private static void DropSqlTableIfExists(string connectionString, string table)
{
    using SqlConnection conn = new(connectionString);
    conn.Open();
    // 利用官方方法自动转义表名（含schema的情况也能正确处理）
    string quotedTable = new SqlCommandBuilder(conn).QuoteIdentifier(table);
    string query = $"IF OBJECT_ID({quotedTable}, 'U') IS NOT NULL BEGIN DROP TABLE {quotedTable}; END";
    using SqlCommand command = new(query, conn);
    command.ExecuteNonQuery();
}

安全性验证 #

无论是你手动实现的转义逻辑，还是官方的QuoteIdentifier方法，都能完全防止SQL注入：

• 对于包含单引号、右括号、点号的恶意输入，转义后都会被解析为合法的标识符，不会被当作SQL命令执行。
• 比如输入test]; DROP TABLE users; --，转义后会变成[test]]; DROP TABLE users; --]，SQL Server会将其识别为一个完整的表名，而非执行注入的SQL语句。

内容的提问来源于stack exchange，提问作者ruttergod