C# .NET Core Web服务无法在SQL Server中创建更新用户问题求助

问题原因 #

你遇到的格式错误是ExecuteSqlRawAsync的底层字符串解析逻辑导致的，该方法会把SQL字符串中的单个{、}识别为string.Format风格的占位符，你代码中随意使用的{@username}、{{@username}}不符合占位符格式要求，直接触发格式化异常。除此之外你的代码还有多个逻辑错误导致SQL无法正常执行：

1. SQL中的GO是SSMS等客户端的批处理分隔符，不是SQL Server官方支持的语法，直接提交给数据库执行会报语法错误。
2. 用户名属于数据库对象名，SQL Server不支持在对象名的位置使用参数化传递，你把用户名当成普通查询参数传递的逻辑本身无法生效。
3. 你给参数额外加了单引号'{@username}'，相当于把参数变成了字符串常量，和你想要的逻辑完全不符。
4. 执行顺序错误：你先执行SQL再设置超时时间，超时配置不会生效。

解决方法 #

核心处理规则 #

• 数据库对象名（用户名、表名等）不能参数化，必须先做合法性校验和转义后再拼接入SQL，避免注入风险。
• 密码属于值类型，可以正常用参数化传递，保证安全性。
• 删掉所有GO关键字，用分号分隔不同SQL语句即可。
• 弃用已经被官方标记为过时的sys.sp_addrolemember，改用标准的ALTER ROLE语法添加角色成员。

修正后代码 #

public async Task CreateUserNameQuery(string username, string password)
{
    // 第一步：校验用户名合法性，避免注入风险，可根据业务调整校验规则
    if (!System.Text.RegularExpressions.Regex.IsMatch(username, @"^[a-zA-Z0-9_]{1,63}$"))
    {
        throw new ArgumentException("用户名仅支持长度1-63位的字母、数字和下划线");
    }
    // 第二步：转义用户名，避免包含特殊字符时SQL语法错误
    string escapedUsername = $"[{username.Replace("]", "]]")}]";

    // 构造SQL，用户名拼接转义后的值，密码留参数位
    string query = $@"
    IF USER_ID({escapedUsername}) IS NULL
        CREATE USER {escapedUsername} WITH PASSWORD = @password, DEFAULT_SCHEMA = [dbo]
    ELSE
        ALTER USER {escapedUsername} WITH PASSWORD = @password, DEFAULT_SCHEMA = [dbo];
    
    ALTER ROLE [db_datareader] ADD MEMBER {escapedUsername};
    ";

    // 先设置超时再执行SQL
    Database.SetCommandTimeout(600);
    // 仅把密码作为参数传入
    var result = await Database.ExecuteSqlRawAsync(query, new SqlParameter("@password", password));
}

额外排查要点 #

如果执行后还是报错，可以按以下顺序排查：

• 确认当前数据库连接账号有CREATE USER、ALTER USER、ALTER ROLE的相关权限。
• 确认传入的密码符合SQL Server的密码复杂度要求（默认要求至少8位，包含字母、数字、特殊字符中的三类）。
• 确认要创建的用户名不属于SQL Server的保留关键字，若要使用保留关键字必须用QUOTENAME转义。

内容的提问来源于stack exchange，提问作者Lily