ComboBox联动TextBox2指定表名实现可变搜索时SQL查询异常求助

首先，你的代码里有个直接导致异常的语法错误：表名被错误地用单引号包裹了。SQL语法规则里，字符串值（比如Name的查询条件）用单引号，但表名、列名这类标识符绝对不能用单引号，这就是固定表名能运行、动态传入就报错的核心原因。

第一步：修复语法错误 #

把表名的单引号换成方括号（针对SQL Server）或者反引号（针对MySQL），比如这样改：

SqlDataAdapter SDA = new SqlDataAdapter($"Select Name,Phone from [{textBox2.Text}] where Name='{textBox1.Text}' ", con);

改完后语法问题就解决了，但别急——这里还有个致命的安全隐患：SQL注入风险。直接把用户输入拼进SQL语句里，攻击者随便输入一串恶意字符，就能篡改你的查询逻辑，甚至删掉整个数据库。

第二步：彻底解决SQL注入问题 #

针对表名这种没法用参数化查询的标识符，我们可以用两种方式防护：

1. 白名单校验（最安全）
   预先定义好允许访问的表名列表，只有用户选择的表名在列表里，才执行查询：

// 先定义合法的表名单
var allowedTables = new List<string> { "Customers", "UserContacts", "ClientInfo" };
if (!allowedTables.Contains(textBox2.Text))
{
    MessageBox.Show("请选择合法的查询表！");
    return;
}

// 校验通过后再拼接SQL，用方括号包裹表名
string sql = $"Select Name,Phone from [{textBox2.Text}] where Name=@Name";
SqlDataAdapter SDA = new SqlDataAdapter(sql, con);
// 对查询参数做参数化处理
SDA.SelectCommand.Parameters.AddWithValue("@Name", textBox1.Text);

DataTable dt = new DataTable();
SDA.Fill(dt);
if (dt.Rows.Count == 1)
{
    textBox3.Text = dt.Rows[0][0].ToString();
}

2. 用QUOTENAME函数转义（适合动态表名场景）
   如果没法提前确定表名列表，可以用SQL Server内置的QUOTENAME函数安全转义标识符：

// 先通过QUOTENAME处理表名，避免注入
string safeTableName = con.ExecuteScalar($"SELECT QUOTENAME('{textBox2.Text}')").ToString();
string sql = $"Select Name,Phone from {safeTableName} where Name=@Name";
// 后续参数化查询同上

额外小建议 #

尽量别让用户直接输入表名，把ComboBox的选项绑定到预先定义的合法表名列表里，用户只能选不能输，从源头减少出错和被攻击的可能。

内容的提问来源于stack exchange，提问作者kleo