如何为MySQL的LOAD DATA LOCAL INFILE语句实现参数化查询

问题原因分析 #

直接参数化写法失败的原因 #

MySQL的参数化查询仅支持数据值的占位，像表名、SQL片段（如colSql）、字段分隔符这类属于SQL语法结构/标识符的部分，无法用参数占位符替代。你直接将@tablename这类占位符放在SQL语法位置，MySQL会将其视为无效语法，导致报错。

存储过程预处理失败的原因 #

MySQL的预处理语句（PREPARE/EXECUTE）目前不支持LOAD DATA LOCAL INFILE命令，这是官方明确的限制，因此存储过程里的写法会抛出This command is not supported in the prepared statement protocol yet异常。

可行解决方案 #

方案1：C#中安全拼接SQL（需严格做注入防护） #

既然无法通过参数化处理表名、SQL片段等部分，我们可以在C#中手动拼接SQL，但必须对所有动态输入做严格的安全校验，避免SQL注入：

1. 校验表名合法性：先查询information_schema.TABLES确认输入的表名存在于当前数据库中
2. 转义特殊字符：对文件路径、字段分隔符中的单引号进行转义（替换为两个单引号）
3. 限制SQL片段范围：如果colSql是动态生成的，确保它仅包含合法的LOAD DATA子句（如COLUMNS TERMINATED BY/SET等），避免恶意SQL注入

示例代码：

// 1. 校验表名是否合法，防止注入非法表名
var checkTableSql = "SELECT COUNT(*) FROM information_schema.TABLES WHERE TABLE_SCHEMA = DATABASE() AND TABLE_NAME = @tableName";
using (var checkCmd = new MySqlCommand(checkTableSql, connection))
{
    checkCmd.Parameters.AddWithValue("@tableName", tableName);
    var count = (long)checkCmd.ExecuteScalar();
    if (count == 0)
    {
        throw new ArgumentException("无效的表名");
    }
}

// 2. 转义字符串中的单引号，避免SQL语法错误
var escapedFilePath = filePath.Replace("'", "''");
var escapedDelimiter = fieldDelimiter.Replace("'", "''");

// 3. 拼接安全的SQL语句，用反引号包裹表名兼容特殊表名
var sqlQuery = $"LOAD DATA LOCAL INFILE '{escapedFilePath}' " +
               $"INTO TABLE `{tableName}` " +
               $"FIELDS TERMINATED BY '{escapedDelimiter}' {colSql.ToString().ToUpper()}";

using (var cmd = new MySqlCommand(sqlQuery, connection))
{
    cmd.ExecuteNonQuery();
}

方案2：使用MySQL用户变量（仅适用于非LOCAL场景） #

如果你的场景可以去掉LOCAL（即文件存储在MySQL服务器端），可以通过用户变量传递文件路径，结合预处理语句实现半参数化，但LOCAL模式下此方法仍不支持：

-- 在C#中执行此SQL，参数化@filePathParam
SET @filePath = @filePathParam;
SET @sqlQuery = CONCAT('LOAD DATA INFILE ', QUOTE(@filePath), ' INTO TABLE `', tablename, '` FIELDS TERMINATED BY ', QUOTE(fieldDelimiter), ' ', colSql);
PREPARE stmt FROM @sqlQuery;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;

关键注意事项 #

• SQL注入防护：动态拼接SQL时，必须对所有用户可控的输入做严格校验，尤其是表名、SQL片段这类无法参数化的部分
• LOCAL权限配置：确保MySQL客户端启用了AllowLoadLocalInfile（在MySqlConnectionStringBuilder中设置AllowLoadLocalInfile = true），否则LOAD DATA LOCAL INFILE会执行失败
• 文件权限：LOCAL模式下，客户端需要有读取目标文件的权限；非LOCAL模式下，MySQL服务器需要有读取文件的权限

内容的提问来源于stack exchange，提问作者Kamal Bhusal