为何第一段创建数据库的SqlConnection代码正常，第二段报错？

嘿，这个问题我之前踩过坑！咱们来一步步理清楚原因和解决办法：

核心原因：参数化查询的适用范围有限 #

SQL Server的参数化机制只能用来替代查询中的「值」（比如WHERE Id = @UserId里的用户ID），但不能用来替代数据库名、表名、列名这类「对象标识符」。

你第二段代码里用@databaseName作为数据库名，SQL Server会把它当成一个参数值，而不是合法的数据库名称来解析——它根本不认识这个位置应该放参数，所以直接抛出「@databaseName附近语法错误」的异常。

而第一段的字符串拼接能成功，是因为它直接生成了完整的CREATE DATABASE MyDB语句，SQL Server可以直接识别MyDB作为数据库对象名。

安全的替代方案：动态SQL + QUOTENAME函数 #

直接字符串拼接虽然能运行，但如果数据库名来自用户输入，很容易遭遇SQL注入攻击（比如恶意输入MyDB; DROP DATABASE TestDB;，直接拼接就会执行删除操作）。

安全的做法是用动态SQL结合QUOTENAME()函数，它会自动转义数据库名里的特殊字符（比如括号、单引号），同时保证语句的合法性。示例代码如下：

string targetDbName = "MyNewDatabase";
// 注意：连接字符串要指向master数据库，才能创建新库
string connectionString = "Server=.;Database=master;Integrated Security=True;";

string dynamicSqlTemplate = @"
DECLARE @createStmt NVARCHAR(MAX);
-- 用QUOTENAME包裹数据库名，避免注入和语法错误
SET @createStmt = N'CREATE DATABASE ' + QUOTENAME(@dbName);
EXEC sp_executesql @createStmt;
";

using (SqlConnection conn = new SqlConnection(connectionString))
{
    conn.Open();
    using (SqlCommand cmd = new SqlCommand(dynamicSqlTemplate, conn))
    {
        // 参数化传递数据库名给QUOTENAME
        cmd.Parameters.Add("@dbName", SqlDbType.NVarChar, 128).Value = targetDbName;
        cmd.ExecuteNonQuery();
    }
}

额外提醒 #

• 创建数据库时，你的连接必须指向master数据库（或者其他系统库），不能指向一个还不存在的数据库；
• QUOTENAME()函数会把数据库名用方括号[]包裹，即使数据库名包含特殊字符（比如My-DB、DB[Test]）也能正确处理；
• 永远不要直接拼接用户输入的数据库名/表名，一定要用QUOTENAME()或者类似的转义机制来防止注入。

内容的提问来源于stack exchange，提问作者Zappelig