如何对SQL参数进行Sanitize？代码正常却触发该警告

首先得明确：你触发的警告，核心风险是动态拼接SQL语句时直接使用了从Excel Schema获取的工作表名称——虽然Excel的OleDb注入场景没那么恶意，但代码扫描工具会把这种“直接拼接外部/动态获取的字符串到SQL”的行为判定为不安全。

针对你的Excel读取场景，Sanitize的重点是处理工作表名称（因为表名无法用常规的OleDbParameter参数化），下面是具体的实现步骤和代码修改方案：

1. 编写工作表名称的Sanitize函数 #

这个函数会做三件事：清理非法字符、转义特殊符号、规范包裹格式，确保拼接后的SQL安全合法：

private string SanitizeExcelSheetName(string rawSheetName)
{
    // 第一步：去除首尾空白字符
    string cleanName = rawSheetName.Trim();
    
    // 第二步：保留合法字符（可根据需求调整，比如支持中文表名就保留中文范围）
    // 只允许字母、数字、下划线、空格、$符号，以及中文（如果需要的话）
    cleanName = System.Text.RegularExpressions.Regex.Replace(cleanName, @"[^a-zA-Z0-9_\s$一-龥]", string.Empty);
    
    // 第三步：转义方括号（OleDb中表名里的[和]需要转义为[[和]]）
    cleanName = cleanName.Replace("[", "[[").Replace("]", "]]");
    
    // 第四步：用方括号包裹最终的表名（OleDb要求带特殊字符的表名必须用方括号）
    return $"[{cleanName}]";
}

2. 在你的Excel读取代码中应用Sanitize #

修改循环处理工作表的部分，把原始的工作表名称替换为经过Sanitize后的版本：

private DataSet ExcelToDataSet(string fileData) 
{ 
    DataSet ds = new DataSet(); 
    string connectionString = GetConnectionString(fileData); 
    using (OleDbConnection conn = new OleDbConnection(connectionString)) 
    { 
        conn.Open(); 
        OleDbCommand cmd = new OleDbCommand(); 
        cmd.Connection = conn; 
        
        // 获取Excel文件中的所有工作表 
        DataTable dtSheet = conn.GetOleDbSchemaTable(OleDbSchemaGuid.Tables, null); 
        
        // 循环处理每个工作表
        foreach (DataRow sheetRow in dtSheet.Rows)
        {
            // 获取原始工作表名称
            string rawSheetName = sheetRow["TABLE_NAME"].ToString();
            // 执行Sanitize
            string safeSheetName = SanitizeExcelSheetName(rawSheetName);
            
            // 拼接安全的SQL语句
            cmd.CommandText = $"SELECT * FROM {safeSheetName}";
            
            // 后续填充DataTable的逻辑
            using (OleDbDataAdapter da = new OleDbDataAdapter(cmd))
            {
                DataTable dt = new DataTable(safeSheetName.Replace("$", ""));
                da.Fill(dt);
                ds.Tables.Add(dt);
            }
        }
    }
    return ds;
}

额外提醒：如果涉及WHERE条件参数 #

如果你的代码后续需要添加带参数的查询（比如SELECT * FROM [Sheet1$] WHERE Name = ?），一定要用OleDbParameter来传递参数，绝对不要直接拼接字符串：

// 正确的参数化写法
cmd.CommandText = "SELECT * FROM [Sheet1$] WHERE Name = ?";
cmd.Parameters.Add(new OleDbParameter("@Name", targetName));

这样既符合代码规范，也能彻底避免参数注入的风险。

内容的提问来源于stack exchange，提问作者renu pawar