C#中通过SqlParameter传递SQL表名失败问题求助

嗨，这个问题我之前也踩过坑！你遇到的核心问题是SQL参数不能用来替换表名这类数据库对象标识符——参数的作用是传递查询中的值（比如WHERE条件里的筛选值），没法直接替换表名、列名或者SQL关键字。所以你直接把@tableSource放在表名位置时，数据库会把它当成一个普通变量，而不是要查询的表名，自然就不生效啦。

下面给你几个可行的解决方案，你可以根据自己的场景选：

方案1：动态拼接SQL语句（需做好防注入） #

如果你要直接用原生SQL，那可以动态拼接表名，但一定要先验证传入的表名是否合法，避免SQL注入风险。毕竟如果有人恶意传入危险的表名，会直接威胁数据库安全。

示例代码：

// 先定义允许的表名列表，只接受这两个表
var allowedTables = new List<string> { "TableA", "TableB" };
if (!allowedTables.Contains(sourceTable))
{
    throw new ArgumentException("传入的表名不合法，请检查！");
}

// 动态拼接SQL语句，这里直接用合法的表名替换占位
var sql = $"SELECT PlanId, PlanSmall AS PlanImg, NOb, ... FROM {sourceTable} WHERE [你的查询条件]";
List<Variables> lst = db.Database.SqlQuery<Variables>(sql).ToList();

方案2：使用存储过程（更安全） #

如果不想在代码里拼接SQL，可以写一个存储过程，在存储过程里判断表名，然后执行对应的查询。这种方式更安全，也更符合数据库层面的规范。

首先创建存储过程：

CREATE PROCEDURE GetVariables
    @tableSource NVARCHAR(50)
AS
BEGIN
    SET NOCOUNT ON;

    -- 判断传入的表名，执行对应查询
    IF @tableSource = 'TableA'
        SELECT PlanId, PlanSmall AS PlanImg, NOb, ... FROM TableA;
    ELSE IF @tableSource = 'TableB'
        SELECT PlanId, PlanSmall AS PlanImg, NOb, ... FROM TableB;
    ELSE
        -- 非法表名抛出错误
        RAISERROR('无效的表名，请传入正确的表名', 16, 1);
END

然后在C#里调用这个存储过程：

List<Variables> lst = db.Database.SqlQuery<Variables>(
    "EXEC GetVariables @tableSource", 
    new SqlParameter("tableSource", sourceTable)
).ToList();

方案3：利用EF的DbSet动态选择（如果有对应DbSet的话） #

如果你的DbContext里已经为这两个表定义了对应的DbSet<Variables>（比如db.TableA和db.TableB），那可以直接通过条件判断选择对应的DbSet，不用写原生SQL也能实现需求：

DbSet<Variables> selectedTable;
if (sourceTable == "TableA")
{
    selectedTable = db.TableA;
}
else if (sourceTable == "TableB")
{
    selectedTable = db.TableB;
}
else
{
    throw new ArgumentException("传入的表名不合法！");
}

// 用Linq查询需要的字段，和写普通Linq一样
List<Variables> lst = selectedTable
    .Select(v => new Variables 
    { 
        PlanId = v.PlanId, 
        PlanImg = v.PlanSmall, 
        NOb = v.NOb,
        // 其他需要映射的字段
    })
    .ToList();

小建议 #

如果你的项目已经在用EF，优先考虑方案3，更符合EF的使用习惯；如果必须用原生SQL，方案2的存储过程比动态拼接更安全；要是选方案1，一定要严格验证表名，绝对不能直接把用户传入的未验证值拼到SQL里！

内容的提问来源于stack exchange，提问作者Julia Kolesnikova