使用SqlCommand执行动态统计查询时出现语法错误，请求排查

嘿，我一眼就发现你代码里的问题啦！咱们一步步拆解来看：

直接触发语法错误的原因 #

你在拼接SQL语句时，where关键字和后面的列名之间没加空格！

原代码的SQL拼接部分：

string sqlQuery ="Select Count("+columName+") from tblAttendance1 where"+columName+"='"+value+"'";

假设columName是EmpID、value是001，生成的SQL会变成：

Select Count(EmpID) from tblAttendance1 whereEmpID='001'

数据库引擎会把whereEmpID当成一个非法标识符，自然会抛出“='附近有语法错误”的异常。

更致命的隐藏问题：SQL注入风险 #

除了语法错误，直接把用户输入的columName和value拼进SQL语句，会带来严重的SQL注入漏洞。比如有人传入value为' OR 1=1--，你的SQL会变成：

Select Count(EmpID) from tblAttendance1 where EmpID='' OR 1=1--'

这会返回表中所有行数，更危险的是攻击者能构造恶意语句删除数据或窃取敏感信息。

修正后的安全代码 #

我们需要同时修复空格问题，并用参数化查询彻底规避注入风险：

public class DataAccessLayerPayroll 
{ 
    public static string CountTblColumByValue(string columnName, string value) 
    { 
        string cs = ConfigurationManager.ConnectionStrings["BD_CompanyConnectionString"].ConnectionString; 
        using (SqlConnection con = new SqlConnection(cs)) 
        {
            // 先校验列名合法性（避免非法输入）
            if (string.IsNullOrWhiteSpace(columnName))
                throw new ArgumentException("列名不能为空");
            
            // 简单校验列名格式，也可以用白名单机制更安全
            if (!System.Text.RegularExpressions.Regex.IsMatch(columnName, @"^[a-zA-Z0-9_]+$"))
                throw new ArgumentException("列名格式非法");

            // 修复空格+参数化查询（仅把value作为参数）
            string sqlQuery = $"Select Count({columnName}) from tblAttendance1 where {columnName} = @Value"; 
            SqlCommand cmd = new SqlCommand(sqlQuery, con); 
            cmd.Parameters.AddWithValue("@Value", value); 
            
            con.Open(); 
            object count = cmd.ExecuteScalar(); 
            return count?.ToString() ?? "0"; // 处理查询结果为null的情况
        } 
    } 
}

额外提示 #

• 列名无法直接参数化，所以最好维护一个允许查询的列名白名单，只接受白名单内的列名，能进一步提升安全性。
• 参数化查询不仅能防注入，还能让数据库缓存查询计划提升性能，同时避免因特殊字符（比如单引号）导致的语法问题。

内容的提问来源于stack exchange，提问作者Shezan Zahid