如何安全编写带动态参数的SQL CREATE DATABASE语句（不使用存储过程）

因为CREATE DATABASE这类DDL语句确实不支持参数化查询，所以要通过严格的输入验证和安全的字符串转义/封装来规避注入风险，具体可以这么做：

1. 严格验证输入合法性 #

• 对数据库名dbName：
  • 限制长度（SQL Server数据库名最长128字符）
  • 只允许合法字符：字母、数字、下划线、连字符，禁止包含空格、特殊符号（如;、'、[、]等）
  • 可用正则表达式验证，比如：^[a-zA-Z0-9_-]{1,128}$
• 对数据库文件路径dbFile和日志文件路径logFile：
  • 验证是合法的本地路径，检查是否包含非法路径字符，避免路径遍历风险
  • 确保路径指向预期目录，防止恶意指定系统敏感路径

2. 安全封装标识符和路径 #

• 数据库名用方括号[]包裹，若输入中包含]，需转义成]]
• 文件路径在SQL Server中用N''包裹，输入里的单引号'要转义成两个单引号''

3. 优化后的代码示例 #

// 先执行输入验证
if (!Regex.IsMatch(dbName, @"^[a-zA-Z0-9_-]{1,128}$"))
{
    throw new ArgumentException("数据库名格式不合法");
}

// 转义特殊字符
string safeDbName = dbName.Replace("]", "]]");
string safeDbFile = dbFile.Replace("'", "''");
string safeLogFile = logFile.Replace("'", "''");

string query = string.Format(
    "CREATE DATABASE [{0}] ON PRIMARY (NAME = N'{0}', FILENAME = N'{1}') LOG ON (NAME = N'{0}_Log', FILENAME = N'{2}') FOR ATTACH",
    safeDbName, safeDbFile, safeLogFile);

额外注意事项 #

• 执行语句的数据库账号要限制权限，只赋予创建数据库和访问指定文件目录的最小权限，降低注入后的危害
• 尽量避免让用户直接输入数据库名或文件路径，优先从系统配置、预定义列表中获取参数，减少外部输入风险

内容的提问来源于stack exchange，提问作者user2717436