C# EF Core使用FormattableString编写含动态列名原生SQL的解决方案问询

问题原因 #

你的判断完全正确：EF Core的ExecuteSqlInterpolatedAsync会将FormattableString中的所有插值项自动转换为SQL参数，但SQL的列名、表名属于标识符，无法通过参数传递，直接参数化后会导致SQL语法错误。 #

核心注意点 #

动态拼接SQL标识符（列名/表名）时必须先做合法性校验，绝对不能直接使用未校验的用户输入拼接SQL，否则会存在严重的SQL注入风险。 #

具体实现方案 #

方案1：原生SQL写法（兼容所有EF Core版本） #

1. 先做列名合法性校验，两种常用校验方式：
   • 白名单校验：提前维护允许操作的列名列表，判断传入的列名是否在白名单内
   • 从EF Core模型元数据读取合法列名，无需硬编码白名单，示例代码如下：

     // 校验列名是否为table1对应实体的合法列
     var entityType = dbContext.Model.FindEntityType(typeof(Table1));
     var validColumnNames = entityType.GetProperties().Select(p => p.GetColumnName()).ToList();
     if (!validColumnNames.Contains(dynamicColumnName))
     {
         throw new ArgumentException("非法列名");
     }
     

2. 校验通过后拼接列名到SQL语句，可变查询条件走参数化传递，示例代码如下：

   // 拼接合法列名生成SQL模板，可变参数用占位符预留
   string sqlTemplate = $"UPDATE table1 SET {dynamicColumnName} = {dynamicColumnName} + 1 WHERE id = {{0}}";
   // 执行时传入参数，EF会自动对参数做转义处理，无注入风险
   await dbContext.Database.ExecuteSqlRawAsync(sqlTemplate, targetId);
   

方案2：EF Core 7+ 原生API写法（无需手写SQL，更安全） #

EF Core 7及以上版本提供了ExecuteUpdateAsync批量更新API，可以通过动态构造表达式实现动态列名更新，完全避免手动拼接SQL，天然防止注入：

// 构造动态更新表达式
var entityParameter = Expression.Parameter(typeof(Table1), "x");
var columnProperty = Expression.Property(entityParameter, dynamicColumnName);
var incrementExpr = Expression.Add(columnProperty, Expression.Constant(1));
var setPropMethod = typeof(SetPropertyCalls<Table1>)
    .GetMethod(nameof(SetPropertyCalls<Table1>.SetProperty), 2, new[] { typeof(Expression<Func<Table1, object>>), typeof(object) })
    .MakeGenericMethod(columnProperty.Type);

var updateLambda = Expression.Lambda<Func<SetPropertyCalls<Table1>, SetPropertyCalls<Table1>>>(
    Expression.Call(
        Expression.Parameter(typeof(SetPropertyCalls<Table1>)),
        setPropMethod,
        Expression.Lambda(columnProperty, entityParameter),
        Expression.Lambda(incrementExpr, entityParameter)
    ),
    Expression.Parameter(typeof(SetPropertyCalls<Table1>))
);

// 执行更新，可在前面拼接Where过滤条件
await dbContext.Table1.ExecuteUpdateAsync(updateLambda);

如果传入的dynamicColumnName不是实体的合法属性，构造表达式时会直接抛出异常，无需额外做合法性校验。

内容的提问来源于stack exchange，提问作者Ebrahim ElSayed