C#向SQLServer传入Command Parameters给FROM子句表名传参报错咨询

是的，ADO.NET的Command Parameters不支持在FROM子句中动态指定表名，这是SQL参数的设计特性，不是BUG：

• SQL参数的核心作用是传递查询值，仅能出现在SQL语句中需要传入值的位置（比如WHERE条件的等值判断、INSERT/UPDATE的字段值位置）。
• 表名、列名、存储过程名这类属于SQL标识符，需要在SQL语句的语法解析、执行计划生成阶段就确定具体内容，而参数值是在执行阶段才会传入，因此解析阶段数据库会把[@val6]直接识别为名为@val6的表，自然会抛出「无效对象名」的异常。

如果必须动态指定表名，绝对不能直接拼接用户可控的输入，否则会有严重的SQL注入风险，推荐按以下步骤实现：

1. 先做表名校验
   优先通过系统表校验目标表是否真实存在，或者提前维护允许动态访问的表名白名单，只有校验通过才允许后续操作：

string targetTableName = o.underlying_symbol + "_1545";
// 校验表名是否存在（用参数查询系统表，避免注入）
using (var checkCmd = new SqlCommand("SELECT 1 FROM sys.tables WHERE name = @TableName", connection))
{
    checkCmd.Parameters.AddWithValue("@TableName", targetTableName);
    bool tableIsExists = checkCmd.ExecuteScalar() != null;
    if (!tableIsExists)
    {
        throw new ArgumentException("请求的表不存在，非法访问");
    }
}

2. 安全拼接SQL
   校验通过后再拼接表名到SQL语句中，同时转义表名中的特殊字符避免语法错误：

// 转义表名中的]符号，避免语法错误
string safeTableName = targetTableName.Replace("]", "]]");
string sqlDailyDataForOption = $@"SELECT underlying_symbol, quote_date FROM [{safeTableName}]";

如果所有动态查询的表结构完全一致，也可以考虑用分区表、统一视图的方案改造，直接通过参数过滤数据，彻底避免动态表名的安全风险。

内容的提问来源于stack exchange，提问作者Ivan。