在Visual Studio与SSMS环境下，如何通过C#传变量名创建SQL Server表？

嘿，针对你的两个技术问题，我来一步步给你解答：

问题1：如何在SQL Server中创建以C#变量为表名的表？ #

首先必须明确：直接把C#变量拼接进SQL语句是极度危险的，会引发SQL注入攻击，这种做法绝对要避免。安全的实现方式是借助SQL Server的QUOTENAME()函数处理表名，再通过动态SQL执行创建操作。

给你一个C#代码的安全示例：

string username = txtUser.Text;
// 先验证用户名/表名合法性，只允许字母、数字和下划线
if (!System.Text.RegularExpressions.Regex.IsMatch(username, @"^[a-zA-Z0-9_]+$"))
{
    throw new ArgumentException("用户名包含非法字符，无法创建对应表");
}

using (SqlConnection conn = new SqlConnection("你的数据库连接字符串"))
{
    conn.Open();
    // 用QUOTENAME包裹表名，自动处理特殊字符并防止注入
    string createTableSql = @"
        DECLARE @TableName NVARCHAR(128) = @Username;
        DECLARE @DynamicSql NVARCHAR(MAX) = 
            'CREATE TABLE ' + QUOTENAME(@TableName) + 
            ' (ID INT PRIMARY KEY IDENTITY(1,1), CourseName NVARCHAR(100), EnrollDate DATETIME DEFAULT GETDATE())';
        EXEC sp_executesql @DynamicSql;
    ";

    using (SqlCommand cmd = new SqlCommand(createTableSql, conn))
    {
        cmd.Parameters.AddWithValue("@Username", username);
        cmd.ExecuteNonQuery();
    }
}

这里的核心要点：

• 先对输入做合法性校验，过滤危险字符
• 用QUOTENAME()将表名转换为安全的数据库标识符（自动添加方括号）
• 依赖sp_executesql执行动态SQL，避免直接字符串拼接的风险

问题2：能否创建名为CreateUserCourses的存储过程，以用户输入的用户名作为新表名称创建表？ #

完全可以！而且把数据库操作封装在存储过程里，是比在C#中直接写动态SQL更规范的做法，同样要注意安全问题。

存储过程的实现代码： #

CREATE PROCEDURE CreateUserCourses
    @Username NVARCHAR(128)
AS
BEGIN
    SET NOCOUNT ON;

    -- 第一步：验证输入合法性
    IF NOT @Username LIKE '[a-zA-Z0-9_]%'
    BEGIN
        RAISERROR('用户名包含非法字符，无法创建对应表', 16, 1);
        RETURN;
    END

    -- 第二步：检查表是否已存在，避免重复创建报错
    IF EXISTS (SELECT * FROM sys.tables WHERE name = @Username)
    BEGIN
        RAISERROR('该用户名对应的表已存在', 16, 1);
        RETURN;
    END

    -- 第三步：构建安全的动态SQL并执行
    DECLARE @DynamicSql NVARCHAR(MAX);
    SET @DynamicSql = 'CREATE TABLE ' + QUOTENAME(@Username) + 
               ' (ID INT PRIMARY KEY IDENTITY(1,1), CourseName NVARCHAR(100), EnrollDate DATETIME DEFAULT GETDATE())';

    EXEC sp_executesql @DynamicSql;
END

额外注意事项： #

1. 权限配置：执行该存储过程的数据库账号需要拥有CREATE TABLE权限，可以通过GRANT CREATE TABLE TO [你的数据库账号]命令赋予。
2. 设计合理性提醒：其实每个用户单独建表并不是最优设计，更推荐用一张统一的UserCourses表，通过Username或UserId字段区分不同用户的数据。这种方式维护更简单，查询效率也更高，能避免数据库中出现大量零散小表的问题。

你的现有C#代码不需要修改，现在调用这个存储过程就能实现需求了。

内容的提问来源于stack exchange，提问作者tryingtotryhard