Entity Framework Core原生SQL查询指定列时抛出异常问题

你遇到的问题核心在于SQL参数不能用来替代列名这类数据库标识符——你用@channelId参数传递的是列名C2，但SQL Server会把它当成一个字符串值来处理，最终执行的SQL其实是：

SELECT TimeStamp, 'C2' FROM dbo.History

这就导致两个关键问题：

• 第二列是字符串常量'C2'，没有指定列名，所以触发No column name was specified for column 2 of 'h'错误
• EF Core尝试把查询结果映射到History实体类时，找不到实体定义的C0/C1/C2/C3等属性对应的列，因此抛出后续的列名不存在异常

要实现动态选择列的需求，你需要安全地拼接列名到SQL语句中，同时必须做好SQL注入防护。

步骤1：添加列名白名单校验 #

首先要确保输入的channelId是预定义的合法列名，彻底杜绝恶意输入带来的SQL注入风险：

// 定义允许查询的列名白名单
var allowedColumns = new HashSet<string> { "C0", "C1", "C2", "C3" };
if (!allowedColumns.Contains(channelId))
{
    throw new ArgumentException("无效的通道ID，请检查输入", nameof(channelId));
}

步骤2：安全拼接SQL并执行查询 #

通过白名单校验后，就可以把合法的列名拼接到SQL语句中，再执行查询：

var context = new DalModels.DbContext();
// 拼接经过安全校验的SQL语句
string command = $"SELECT TimeStamp, {channelId} FROM dbo.History";
// 执行查询（无需参数，因为列名已通过白名单验证）
var result = context.History.FromSql(command).ToList();

（可选）使用DTO映射部分数据 #

如果你不需要把结果映射到完整的History实体，只是需要TimeStamp和目标列的数据，可以自定义DTO类，配合SqlQuery实现更灵活的映射：

// 自定义DTO类，仅包含需要的字段
public class ChannelHistoryDto
{
    public DateTime TimeStamp { get; set; }
    public decimal? ChannelValue { get; set; } // 根据你的列数据类型调整
}

// 执行查询并映射到DTO
var result = context.Database.SqlQuery<ChannelHistoryDto>(
    $"SELECT TimeStamp, {channelId} AS ChannelValue FROM dbo.History"
).ToList();

• 绝对不要直接把未校验的用户输入拼接到SQL语句中，白名单校验是防范SQL注入的核心手段
• EF Core的FromSql要求查询结果能映射到目标实体的所有属性，若只需要部分数据，优先使用SqlQuery映射到DTO类，避免实体映射冲突

内容的提问来源于stack exchange，提问作者amplifier