使用未验证的用户指定存储过程名创建SqlCommand是否存在SQL注入风险？

先直接回应你的两个核心问题：

1. 用户是否只能指定数据库中已有的存储过程名称？ #

完全不是。用户可以输入任意字符串作为UserStoredProcedureName，不管这个名称对应的存储过程是否存在。如果输入的名称不存在，执行SqlCommand时会抛出SqlException，提示找不到指定的存储过程，但这并不限制用户输入任意内容。

2. 用户能否通过构造恶意名称实施SQL注入攻击？ #

是的，存在明确的SQL注入风险，哪怕你设置了CommandType = CommandType.StoredProcedure。

举个具体的恶意输入例子：假设攻击者输入的UserStoredProcedureName是：

LegitimateSP; EXEC sp_executesql N'DROP TABLE Customers'--

当你的代码执行这个SqlCommand时，SQL Server会将整个字符串当作一个批处理来执行：首先尝试调用LegitimateSP（如果存在的话），然后执行后面的EXEC sp_executesql...语句，最终删除Customers表。这是因为分号;是SQL Server的批处理分隔符，而注释符--会忽略后续可能存在的无效字符。

更隐蔽的情况是攻击者利用SQL Server的系统存储过程（比如启用后的xp_cmdshell）来执行操作系统命令，造成更严重的破坏。

如何防范这种风险？ #

• 白名单验证：维护一个允许用户调用的存储过程列表，只接受列表内的名称输入。这是最安全的方式。
• 查询系统表验证：在执行前查询sys.procedures系统视图，确认用户输入的名称确实存在于当前数据库的存储过程中，还可以额外验证存储过程的所有者（比如只允许调用dbo下的存储过程）。
• 避免直接拼接存储过程名：永远不要将用户输入直接作为CommandText传递，哪怕设置了CommandType.StoredProcedure。如果需要动态指定存储过程，一定要通过上述验证步骤过滤输入。

内容的提问来源于stack exchange，提问作者Kyle Pollard