如何在C#中利用文本框值设置SQL Server表的列名并创建动态表

问题核心 #

你当前的写法存在本质错误：参数化查询仅能用于传递SQL语句中的数据值，无法用来替换表名、列名这类数据库对象名称。直接用@TableName、@id、@Name作为对象名参数，会触发SQL语法错误。

正确实现方案 #

1. 先做输入合法性校验 #

因为要手动拼接SQL语句，必须先对文本框输入的表名、列名做严格校验，彻底规避SQL注入风险：

• 限制输入仅包含字母、数字、下划线（符合数据库对象名的合法字符范围）
• 禁止输入SQL关键字（如SELECT、DROP、ALTER等）

2. 拼接合法SQL并执行 #

校验通过后，再拼接CREATE TABLE语句执行，示例C#代码如下：

// 获取并清理输入内容
string tableName = textbox3.Text.Trim();
string columnIdName = textbox1.Text.Trim();
string columnName = textbox2.Text.Trim();

// 校验输入合法性，不合法则终止操作
if (!IsValidDbObjectName(tableName) || !IsValidDbObjectName(columnIdName) || !IsValidDbObjectName(columnName))
{
    MessageBox.Show("表名或列名格式非法，请输入字母、数字或下划线组合");
    return;
}

// 拼接创建表的SQL语句
string sql = $"CREATE TABLE {tableName} ({columnIdName} INTEGER, {columnName} VARCHAR(50))";

// 执行SQL，用using确保资源自动释放
using (SqlConnection conn = new SqlConnection("你的数据库连接字符串"))
{
    conn.Open();
    using (SqlCommand cmd = new SqlCommand(sql, conn))
    {
        cmd.ExecuteNonQuery();
        MessageBox.Show("表创建成功");
    }
}

3. 合法性校验函数示例 #

实现基础的校验逻辑，过滤非法内容：

private bool IsValidDbObjectName(string name)
{
    if (string.IsNullOrEmpty(name)) return false;
    // 只允许字母、下划线开头，后续可跟字母、数字、下划线
    if (!Regex.IsMatch(name, @"^[A-Za-z_][A-Za-z0-9_]*$")) return false;
    // 禁止使用常见SQL关键字
    string[] forbiddenKeywords = { "SELECT", "INSERT", "UPDATE", "DELETE", "CREATE", "DROP", "ALTER", "TABLE" };
    return !forbiddenKeywords.Contains(name.ToUpper());
}

重要提醒 #

• 绝对不能直接拼接未校验的用户输入：否则会被SQL注入攻击，攻击者可通过恶意输入删除数据库、窃取敏感数据。
• 不同数据库的对象名规则有差异（比如SQL Server支持用方括号包裹特殊名称，MySQL用反引号），需根据你使用的数据库调整拼接逻辑。

内容的提问来源于stack exchange，提问作者sina