如何在C#中更新动态生成带Where/AND子句的T-SQL？

你说的sql = sql.Where(x => someLogic)这种风格，其实在绝大多数现代ORM（对象关系映射）框架里都是核心功能之一，既能帮你优雅地动态构建WHERE子句，还能自动避免SQL注入的风险，比手动拼接字符串靠谱多了！

我给你举几个常用框架的例子，一看就懂：

1. Entity Framework / EF Core（最常用的.NET ORM） #

EF系列天生支持这种链式调用，而且是延迟执行的——也就是说，只有当你真正执行查询（比如调用ToList()、FirstOrDefault()）时，才会生成最终的SQL语句。

比如你要查询用户表，根据姓名和年龄动态过滤：

// 先初始化基础查询
var userQuery = dbContext.Users.AsQueryable();

// 根据条件动态追加WHERE子句（自动拼接AND）
if (!string.IsNullOrEmpty(searchName))
{
    userQuery = userQuery.Where(u => u.Name.Contains(searchName));
}

if (minAge.HasValue)
{
    userQuery = userQuery.Where(u => u.Age >= minAge.Value);
}

// 执行查询，此时EF会生成包含所有条件的SQL
var filteredUsers = userQuery.ToList();

最终生成的SQL会自动把多个Where调用转换成WHERE ... AND ...的格式，而且所有参数都会被参数化，完全不用担心注入问题。

2. Dapper（轻量级.NET ORM） #

Dapper本身是微ORM，原生没有直接的链式Where，但可以借助第三方扩展库（比如Dapper.QueryBuilder）实现类似的流畅API：

var queryBuilder = new QueryBuilder();
queryBuilder.Select("*").From("Users");

// 动态添加条件
if (!string.IsNullOrEmpty(searchName))
{
    queryBuilder.Where("Name LIKE @SearchName", new { SearchName = $"%{searchName}%" });
}

if (minAge.HasValue)
{
    queryBuilder.And("Age >= @MinAge", new { MinAge = minAge.Value });
}

// 执行查询
var filteredUsers = connection.Query<User>(queryBuilder.Sql, queryBuilder.Parameters);

这里的And方法就是在已有WHERE条件后追加AND子句，同样是参数化的，安全又方便。

3. 如果你是手动写SQL（不推荐，但也有办法） #

要是你非得自己拼接SQL字符串，绝对不要直接拼接用户输入！一定要用参数化查询。不过还是更推荐用ORM的方式，因为手动拼接很容易出错，还容易踩注入的坑。

小提醒 #

• 不管用哪种框架，记得初始查询要是支持延迟执行的类型（比如EF的IQueryable），这样链式调用才不会提前执行；
• 条件判断要严谨，比如避免空字符串、null值导致的无效条件被加入。

内容的提问来源于stack exchange，提问作者GThree