如何在C#的SQL查询中正确插入动态列名？

参数化查询天生就不能用来替换列名、表名这类SQL语法结构节点——它的设计定位就是传递SQL里的实际值，你现在的写法完全不符合它的使用逻辑。
你写的select @columnname from table执行时，数据库根本不会把@columnname解析成目标列，只会把它当成普通常量返回，等价于实际执行：

select '你传入的ColumnName字符串内容' from table
最后查出来的结果全是固定的列名字符串，根本不会取对应列的真实数据，自然达不到预期效果。

直接拼接未校验的动态列名会留SQL注入漏洞，绝对不能图省事这么干，正确的处理流程分两步：

• 对传入的列名做严格白名单校验
  别靠替换分号、引号这种弱过滤做防注入，直接从数据库元信息（比如查询information_schema.COLUMNS拿到目标表的所有合法列名）做匹配，只有传入的列名完全落在合法集合里，才允许进入下一步，否则直接抛参数错误。
• 对校验通过的列名做安全拼接
  拼接时把列名用数据库对应的标识符引用符包裹（SQL Server用[]、MySQL用反引号），避免列名和关键字重名、带特殊字符的场景出问题。
• 注意边界：除了列名这类必须动态拼接的语法结构部分，SQL里所有值的传递依然要老老实实用参数化，别全量拼接。

最小可运行的正确代码示例：

// 从数据库元信息加载目标表的合法列名集合，忽略大小写匹配
HashSet<string> validColumns = GetTableValidColumns("你的目标表名");
if(!validColumns.Contains(obj.ColumnName))
{
    throw new InvalidOperationException("传入的列名不合法");
}
// 拼接列名时用标识符包裹，避免转义问题
string safeColumn = $"[{obj.ColumnName}]";
string finalSql = $"select {safeColumn} from [你的目标表名]";
// 涉及值传递的逻辑依然走参数化
command.Parameters.AddWithValue("@FilterUserId", 123);

• 别因为是内部系统就放松校验，长期迭代下来，无校验的动态拼接很容易因为逻辑疏漏出现注入风险
• 所有需要动态替换的语法结构元素（表名、排序字段、查询逻辑连接符等）的处理逻辑和动态列名完全一致：白名单校验+安全拼接，不要指望靠参数占位符实现这类需求。

内容的提问来源于stack exchange，提问作者Sangam Singh