SqlParameter赋值失效求助：为何参数值未写入数据库？

你的代码出现参数未绑定的问题，核心原因是混合了字符串拼接和参数化查询的写法，同时还存在严重的SQL注入风险，我们一步步来拆解和修复：

为什么参数没被正确替换？ #

你当前的代码里，InsertCorrespondenceRecipientItem方法通过字符串插值把email.Guid、correspondenceId等值直接拼进了SQL语句，只给Subject和ToEmail留了参数占位符。这种混合写法会导致两个问题：

1. 部分EF版本（尤其是旧版EF6或过渡版EF Core）对这种“半参数化”的SQL语句解析存在问题，无法正确识别@subject和@emailString作为参数占位符，反而把它们当成了普通字符串值插入到数据库。
2. 直接拼接Guid、日期等值到SQL里，不仅有SQL注入风险（虽然Guid本身注入风险低，但日期等类型可能出现格式问题），还可能引发类型转换错误。

正确的修复方案：完全参数化查询 #

我们需要把所有变量都改成参数化形式，彻底避免字符串拼接。这里提供两种常用的实现方式：

方式1：使用命名参数+ExecuteSqlRawAsync（EF Core推荐） #

先修改你的辅助方法，返回纯SQL模板（不带任何拼接值）：

internal static string InsertCorrespondenceRecipientItem() => @"
INSERT INTO CorrespondenceRecipientItems (Id, DateSent, Subject, ToEmail, [CorrespondenceId] , [ToId], [CorrespondenceRecipientId])
VALUES (@id, @dateSent, @subject, @emailString, @correspondenceId, @contactId, @recipientId)
";

然后在调用处传递所有参数：

var sqlTemplate = SqlHelpers.InsertCorrespondenceRecipientItem();
var parameters = new[]
{
    new SqlParameter("@id", item.email.Guid),
    new SqlParameter("@dateSent", item.email.DateSent),
    new SqlParameter("@subject", item.email.Subject.Trim()),
    new SqlParameter("@emailString", item.email.EmailAddressString.Trim()),
    new SqlParameter("@correspondenceId", correspondence.Guid),
    new SqlParameter("@contactId", fromId),
    new SqlParameter("@recipientId", item.email.Guid)
};
await _db.Database.ExecuteSqlRawAsync(sqlTemplate, parameters);

方式2：使用ExecuteSqlInterpolatedAsync（更简洁） #

EF Core提供了ExecuteSqlInterpolatedAsync方法，它会自动把字符串插值的变量转换成参数，写法更简洁且安全：

await _db.Database.ExecuteSqlInterpolatedAsync($@"
INSERT INTO CorrespondenceRecipientItems (Id, DateSent, Subject, ToEmail, [CorrespondenceId] , [ToId], [CorrespondenceRecipientId])
VALUES ({item.email.Guid}, {item.email.DateSent}, {item.email.Subject.Trim()}, {item.email.EmailAddressString.Trim()}, {correspondence.Guid}, {fromId}, {item.email.Guid})
");

这种方式不需要单独定义参数数组，EF会自动处理参数绑定，同时完全避免SQL注入。

额外提醒 #

永远不要混合字符串拼接和参数化查询，哪怕是看起来“安全”的Guid或数字类型——参数化不仅能防止注入，还能避免类型格式（比如日期、字符串转义）带来的潜在问题。

内容的提问来源于stack exchange，提问作者Daniel.Cristian