如何在Entity Framework Core中参数化拼接的SQL查询

嘿，你这个场景太常见了——直接拼接SQL确实能实现批量更新，但SQL注入风险是个大问题，而且EF Core其实有原生的安全方式来处理这种动态批量的参数化查询，我给你分享两种靠谱的方案：

方案1：使用ExecuteSqlInterpolatedAsync（推荐，语法简洁） #

EF Core 3.0+提供了ExecuteSqlInterpolatedAsync方法，它支持直接用插值字符串（FormattableString）自动参数化，非常适合你这种动态生成CASE语句的场景。你可以把每个条件和对应的值都作为变量传入，EF会自动帮你把它们转换成SQL参数，完全不用担心注入：

var updateCases = new List<(int Column2Value, int NewColumnValue)>();
// 替换成你实际的更新规则数据
for (int i = 0; i < 10; i++)
{
    updateCases.Add((i, i + 1));
}

// 构建CASE语句部分
var caseBuilder = new StringBuilder("UPDATE entity SET column = CASE ");
foreach (var item in updateCases)
{
    // 插值变量会被EF自动参数化
    caseBuilder.Append($"WHEN column2 = {item.Column2Value} THEN {item.NewColumnValue} ");
}
caseBuilder.Append("END WHERE id IN ({string.Join(", ", updateCases.Select(x => x.Column2Value))})");

// 转换成FormattableString并执行
var formattedSql = FormattableStringFactory.Create(
    caseBuilder.ToString(), 
    updateCases.SelectMany(x => new object[] { x.Column2Value, x.NewColumnValue }).ToArray()
);
await _context.Database.ExecuteSqlInterpolatedAsync(formattedSql);

这里的核心是：所有动态变量都是通过插值字符串传入的，EF会自动把每个变量映射成@p0、@p1这样的SQL参数，彻底规避了字符串拼接带来的注入风险。

方案2：手动创建SqlParameter集合（更灵活可控） #

如果你需要更精细地控制参数名称、类型或处理复杂逻辑，可以手动创建SqlParameter数组，把参数名嵌入SQL字符串后，用ExecuteSqlRawAsync执行：

var updateCases = new List<(int Column2Value, int NewColumnValue)>();
for (int i = 0; i < 10; i++)
{
    updateCases.Add((i, i + 1));
}

var caseBuilder = new StringBuilder("UPDATE entity SET column = CASE ");
var parameters = new List<SqlParameter>();

// 动态生成CASE条件和对应参数
for (int i = 0; i < updateCases.Count; i++)
{
    var item = updateCases[i];
    var paramConditionName = $"@condition_{i}";
    var paramValueName = $"@value_{i}";
    
    caseBuilder.Append($"WHEN column2 = {paramConditionName} THEN {paramValueName} ");
    parameters.Add(new SqlParameter(paramConditionName, item.Column2Value));
    parameters.Add(new SqlParameter(paramValueName, item.NewColumnValue));
}

// 处理WHERE IN子句的参数
var inParamNames = new List<string>();
for (int i = 0; i < updateCases.Count; i++)
{
    var paramName = $"@id_{i}";
    inParamNames.Add(paramName);
    parameters.Add(new SqlParameter(paramName, updateCases[i].Column2Value));
}
caseBuilder.Append($"END WHERE id IN ({string.Join(", ", inParamNames)})");

// 执行参数化查询
await _context.Database.ExecuteSqlRawAsync(caseBuilder.ToString(), parameters.ToArray());

这种方式的好处是你可以完全掌控每个参数的细节，适合复杂的批量场景，同样能彻底避免SQL注入。

注意事项 #

• 如果你使用的是EF Core 3.0之前的版本，ExecuteSqlCommandAsync也支持类似的参数化方式，但推荐升级到新版本使用ExecuteSqlInterpolatedAsync或ExecuteSqlRawAsync（前者更简洁，后者更灵活）。
• 无论哪种方案，绝对不要直接把用户输入或动态变量拼接进SQL字符串，一定要通过参数化的方式传递。

内容的提问来源于stack exchange，提问作者Bishal Sharma