使用C#创建参数化MySQL数据库时遇SQL语法错误求助

首先咱们直接戳中问题根源：MySQL不支持用参数来指定数据库名称（或者表名、列名这类标识符），参数只能用于SQL语句里的「值」（比如WHERE子句的条件值）。你看到的错误提示里的''MySQLDatabase''，是因为参数@database被MySQL客户端自动加上了单引号，导致实际执行的SQL变成了：

CREATE DATABASE IF NOT EXISTS 'MySQLDatabase'

而MySQL里的数据库名称属于标识符，不能用单引号包裹（如果名称带特殊字符，应该用**反引号`**包裹），这就直接触发了语法错误。

解决方案 #

根据你的使用场景，有两种安全的处理方式：

1. 当数据库名称来自可信来源时（比如固定配置、内部系统输入）

可以直接用字符串格式化构建SQL语句，但记得用反引号包裹数据库名称，避免特殊字符引发问题：

string connectionString = string.Format("SERVER = {0}; Port = {1}; User = {2}; Password = {3}", server, port, username, password);
using MySqlConnection conn = new MySqlConnection(connectionString);
try {
    conn.Open();
    // 用反引号包裹数据库名称，兼容特殊字符
    string createDBCommand = string.Format("CREATE DATABASE IF NOT EXISTS `{0}`", databaseName);
    using MySqlCommand cmd = new MySqlCommand(createDBCommand, conn);
    cmd.ExecuteNonQuery();
    // 后续业务逻辑
} catch (Exception ex) {
    // 异常处理逻辑
}

2. 当数据库名称来自不可信来源时（比如用户输入）

必须先对名称做验证和转义，避免SQL注入风险：

• 验证：检查名称是否符合MySQL标识符规则（比如长度不超64字符、不包含非法符号等）
• 转义：如果名称包含反引号，要把单个反引号替换成两个反引号，再用反引号包裹
  示例代码：

// 转义MySQL标识符的辅助方法
string EscapeMySqlIdentifier(string identifier)
{
    if (string.IsNullOrEmpty(identifier))
        throw new ArgumentNullException(nameof(identifier));
    // 替换内部反引号为双反引号，再包裹外层反引号
    return $"`{identifier.Replace("`", "``")}`";
}

// 调用示例
string safeDbName = EscapeMySqlIdentifier(userProvidedDbName);
string createDBCommand = $"CREATE DATABASE IF NOT EXISTS {safeDbName}";

关键提醒 #

绝对不要直接拼接未验证的用户输入到SQL语句里，否则会引发严重的SQL注入漏洞。只有当你能完全控制输入来源时，才可以使用字符串格式化处理标识符。

内容的提问来源于stack exchange，提问作者Pliny