如何在Entity Framework Core中无单引号传递SQL参数？创建用户遇语法错误

你遇到的问题核心是：SQL Server的DDL语句（如CREATE USER）中的对象标识符（用户名、登录名这类）不支持参数化查询。参数化只适用于数据值（比如WHERE子句里的条件），而不能用来替代对象名称，这也是为什么你的语句被转换为带引号的参数后会报语法错误——SQL Server把@Login的参数值当成了字符串，而不是合法的标识符。

解决方案：安全生成动态SQL #

要解决这个问题，我们需要动态生成包含合法标识符的SQL语句，同时必须使用QUOTENAME()函数来处理特殊字符，防止SQL注入风险。

方法1：使用sp_executesql结合QUOTENAME

可以通过拼接安全的标识符来构建DDL语句，然后用系统存储过程执行：

using (var context = new ServerContext(_options))
{
    if (!data.Any()) // 替换成你的判断逻辑
    {
        var loginParam = new SqlParameter("@Login", SqlDbType.NVarChar, 128) 
        { 
            Value = "user" 
        };
        
        // 用QUOTENAME处理登录名，确保标识符合法且安全
        context.Database.ExecuteSqlCommand(
            "EXEC sp_executesql N'CREATE USER ' + QUOTENAME(@Login) + ' FOR LOGIN ' + QUOTENAME(@Login)",
            loginParam
        );
    }
}

方法2：直接生成安全的动态SQL字符串

如果你更倾向于直接构建SQL，同样要借助QUOTENAME来转义：

using (var context = new ServerContext(_options))
{
    if (!data.Any())
    {
        string loginName = "user";
        // 先获取经过QUOTENAME处理的安全标识符
        string safeLogin = context.Database.SqlQuery<string>(
            "SELECT QUOTENAME(@p0)", 
            loginName
        ).FirstOrDefault();
        
        if (!string.IsNullOrEmpty(safeLogin))
        {
            string createUserSql = $"CREATE USER {safeLogin} FOR LOGIN {safeLogin}";
            context.Database.ExecuteSqlCommand(createUserSql);
        }
    }
}

为什么原来的方式行不通？ #

你的代码生成的执行语句是：

exec sp_executesql N'CREATE USER @Login FOR LOGIN @Login',N'@Login nvarchar(4)',@Login=N'User'

这相当于告诉SQL Server“创建一个名为@Login的用户，对应登录名@Login”，但@Login在这里是参数，不是标识符。SQL Server期望的是直接的对象名（比如CREATE USER User FOR LOGIN User），而不是带引号的字符串值，所以会报语法错误。

内容的提问来源于stack exchange，提问作者Mikhail