C#创建MySQL数据库时的SQL注入防护方案咨询

哥们，你碰到的这个问题太典型了——参数化查询对付普通数据行得通，但数据库名这种属于SQL标识符，确实没法用参数绑定。别慌，我给你几个经过实战验证的防护方案，按安全性优先级排序：

1. 白名单机制（最安全） #

如果你的业务场景中，允许创建的数据库名是有限的、可预设的，那白名单是最彻底的防护手段。只允许用户从指定的列表中选择数据库名，完全杜绝恶意输入的可能：

// 预设允许创建的数据库名白名单
var allowedDbNames = new HashSet<string> { "user_profile_db", "order_management_db", "customer_support_db" };

if (!allowedDbNames.Contains(id))
{
    throw new ArgumentException("Invalid database name. Only pre-approved names are allowed.");
}

// 验证通过后执行创建逻辑
using (var conn = new MySqlConnection(connStr))
{
    conn.Open();
    var comm = conn.CreateCommand();
    // 用反引号包裹标识符，符合MySQL语法规范
    comm.CommandText = $"CREATE DATABASE IF NOT EXISTS `{id}`";
    comm.ExecuteNonQuery();
}

2. 使用官方驱动的标识符转义方法 #

MySQL Connector/NET 提供了专门的MySqlConnection.EscapeIdentifier静态方法，用来安全转义数据库名、表名这类标识符。它会自动处理标识符中的特殊字符（比如反引号），并添加正确的包裹符号：

using (var conn = new MySqlConnection(connStr))
{
    conn.Open();
    // 用官方方法转义数据库名
    var escapedDbName = MySqlConnection.EscapeIdentifier(id);
    var comm = conn.CreateCommand();
    comm.CommandText = $"CREATE DATABASE IF NOT EXISTS {escapedDbName}";
    comm.ExecuteNonQuery();
}

这个方法会把类似my"db或者mydb的输入，转换成符合MySQL规范的my"db和my``db`，既保留了合法的特殊字符，又彻底避免了SQL注入风险。

3. 严格的输入验证（基础防线） #

如果无法使用白名单，先对输入的数据库名做严格的格式校验，只允许符合MySQL命名规则的字符：

• 只能包含字母、数字、下划线
• 长度不超过64字符（MySQL数据库名的最大限制）

// 定义合法数据库名的正则表达式
var validDbNameRegex = new Regex(@"^[a-zA-Z0-9_]{1,64}$");

if (!validDbNameRegex.IsMatch(id))
{
    throw new ArgumentException("Invalid database name. Only letters, numbers, and underscores are allowed (max 64 characters).");
}

// 验证通过后执行创建
using (var conn = new MySqlConnection(connStr))
{
    conn.Open();
    var comm = conn.CreateCommand();
    comm.CommandText = $"CREATE DATABASE IF NOT EXISTS `{id}`";
    comm.ExecuteNonQuery();
}

注意：即使做了验证，也要用反引号包裹标识符，避免因为MySQL的关键字冲突导致语法错误（比如输入select作为数据库名）。

绝对要避免的做法 #

千万不要直接拼接未处理的用户输入到SQL语句中，比如：

// 高危！直接拼接输入会导致SQL注入
comm.CommandText = "CREATE DATABASE IF NOT EXISTS " + id;

如果用户输入test; DROP DATABASE production_db;，你的数据库就凉了。

内容的提问来源于stack exchange，提问作者Brian S