使用Npgsql创建数据库遇语法错误，参数化查询失效问题咨询

这个问题其实是对SQL参数化查询适用范围的常见误解，我来帮你拆解清楚：

为什么参数化查询在CREATE DATABASE时失效？ #

你在SELECT语句里用参数化能成功，是因为:Id传递的是数据值——也就是查询条件里的具体数据，这类场景是参数化查询的设计目标。但CREATE DATABASE后面的数据库名属于SQL语法中的标识符（类似表名、列名这类定义结构的名称），数据库在解析SQL语句时，标识符是语法结构的一部分，会在语法分析阶段就确定，而参数化查询的占位符（比如$1）只能用来替换执行阶段的数据值，不能替换语法层面的标识符。

你的三次尝试本质上都是把数据库名当作数据值来传递，但PostgreSQL期望的是一个合法的标识符，所以才会抛出syntax error at or near "$1"的错误——数据库根本不允许在CREATE DATABASE后面用参数占位符。

如何安全创建数据库/表（防范SQL注入）？ #

因为标识符不能用参数化，所以我们需要换一种方式来保障安全，推荐两种可靠的做法：

• 严格验证标识符合法性：只允许输入符合PostgreSQL标识符规则的字符（字母、数字、下划线，且不能以数字开头），直接拒绝包含特殊字符的输入。这种方式适合你能完全控制输入来源的场景。
• 使用Npgsql内置的标识符转义方法：Npgsql提供了NpgsqlConnection.QuoteIdentifier方法，它会自动处理标识符中的特殊字符（比如把单个双引号转义成两个双引号），生成符合PostgreSQL语法的安全标识符。示例代码如下：

string databaseName = "MyDatabase";
// 调用方法转义标识符
string quotedDbName = conn.QuoteIdentifier(databaseName);
using (NpgsqlCommand command = new NpgsqlCommand($"CREATE DATABASE {quotedDbName}", conn))
{
    await command.ExecuteNonQueryAsync();
}

哪怕数据库名包含特殊字符（比如My"Database），转义后会变成"My""Database"，既符合语法，又能彻底避免SQL注入风险。

关于format('CREATE DATABASE %1$s', 'MyDatabase')的安全性？ #

如果MyDatabase是你自己定义的固定值，没有任何用户输入或不可信来源参与，那这个写法是安全的。但如果数据库名来自用户输入、外部接口等不可信渠道，直接用format拼接会存在致命的SQL注入风险。

举个例子，如果用户输入的内容是MyDatabase; DROP DATABASE Test; --，format生成的SQL会变成：

CREATE DATABASE MyDatabase; DROP DATABASE Test; --

这条SQL会先创建MyDatabase，然后直接执行删除Test数据库的恶意操作，后面的--还会注释掉可能存在的后续语句，风险极大。所以永远不要直接拼接不可信的标识符，必须先做转义或验证。

内容的提问来源于stack exchange，提问作者Adam Mrozek