能否将SQL查询字符串传递给Web API控制器？实现问题咨询

首先直接说结论：你当前的实现方式既不安全，也是导致404/400错误的根源，下面具体拆解问题并给出替代方案：

为什么会出现404/400错误？ #

1. URL长度限制：绝大多数浏览器和Web服务器对URL的长度有上限（比如IE是2083字符，IIS默认是4096字符），如果你的SQL查询字符串较长，会被直接截断，导致路由匹配失败（404）或者请求格式无效（400）。
2. 特殊字符未转义：SQL语句里的空格、单引号、等号等字符属于URL的特殊字符，直接传递会被服务器解析为非法格式，返回400错误。

更严重的问题：SQL注入风险 #

这是最致命的问题——直接通过URL传递完整的SQL查询字符串，等于把数据库的控制权完全交给了用户。恶意用户只需要构造类似'; DROP TABLE YourTableName;--的恶意SQL片段，就能直接删除你的数据库表，或者窃取、篡改所有数据，这是绝对不能忽视的安全漏洞。

正确的实现方案 #

1. 改用POST传递搜索条件，后端构建参数化SQL #

不要传递完整SQL，而是把用户的搜索条件（比如txt_ref、txt_reference的值）作为结构化参数传递，后端根据这些参数动态构建参数化查询，从根源上避免注入风险和URL问题。

前端示例（构造JSON参数）

// 收集用户输入的搜索条件
const searchCriteria = {
  quoteRef: document.getElementById('txt_ref').value,
  policyRef: document.getElementById('txt_reference').value,
  insuredName: document.getElementById('txt__name').value
};

// 用POST请求发送到后端
fetch('/api/SelectionHelper/RiskGridView', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json'
  },
  body: JSON.stringify(searchCriteria)
});

后端修改后的代码

// 新增接收前端参数的实体类
public class RiskSearchCriteria
{
    public string QuoteRef { get; set; }
    public string PolicyRef { get; set; }
    public string InsuredName { get; set; }
    // 对应其他搜索字段的属性
}

[Route("api/SelectionHelper/RiskGridView")]
[HttpPost]
public HttpResponseMessage RiskGridView([FromBody] RiskSearchCriteria criteria)
{
    try
    {
        using (SqlConnection con = new SqlConnection(ConfigurationManager.ConnectionStrings["Actor"].ConnectionString))
        {
            con.Open();
            
            // 先验证会话（改用参数化查询，避免潜在风险）
            using (SqlCommand sessionCmd = new SqlCommand("SELECT * FROM Table WHERE key = @GlobalId", con))
            {
                sessionCmd.Parameters.AddWithValue("@GlobalId", Constants.GlobalId);
                DataTable dt = new DataTable();
                new SqlDataAdapter(sessionCmd).Fill(dt);
                
                if (dt.Rows.Count == 0)
                {
                    return Request.CreateErrorResponse(HttpStatusCode.BadRequest, "No active session found");
                }
            }

            // 动态构建参数化查询
            List<string> whereClauses = new List<string>();
            List<SqlParameter> parameters = new List<SqlParameter>();

            // 根据前端参数添加查询条件
            if (!string.IsNullOrEmpty(criteria.QuoteRef))
            {
                whereClauses.Add("[table].[ref] = @QuoteRef");
                parameters.Add(new SqlParameter("@QuoteRef", criteria.QuoteRef));
            }
            if (!string.IsNullOrEmpty(criteria.PolicyRef))
            {
                whereClauses.Add("[Table].[reference] = @PolicyRef");
                parameters.Add(new SqlParameter("@PolicyRef", criteria.PolicyRef));
            }
            // 其他搜索条件同理...

            // 基础查询语句（明确指定字段，不要用SELECT *）
            string baseQuery = @"SELECT ref, reference, sap_ins_name, status, recd, 
                                      inception, type, name, date FROM YourActualTableName";
            
            // 拼接WHERE条件
            if (whereClauses.Any())
            {
                baseQuery += " WHERE " + string.Join(" AND ", whereClauses);
            }

            // 执行查询并返回结果
            using (SqlCommand dataCmd = new SqlCommand(baseQuery, con))
            {
                dataCmd.Parameters.AddRange(parameters.ToArray());
                List<RiskSearch> list = new List<RiskSearch>();
                
                using (SqlDataReader reader = dataCmd.ExecuteReader())
                {
                    while (reader.Read())
                    {
                        list.Add(new RiskSearch()
                        {
                            QuoteRef = reader["ref"] != DBNull.Value ? Convert.ToInt32(reader["ref"]) : 0,
                            PolicyRef = reader["reference"]?.ToString(),
                            Insured = reader["sap_ins_name"]?.ToString(),
                            QuoteStatus = reader["status"]?.ToString(),
                            Order = reader["recd"] != DBNull.Value ? Convert.ToInt32(reader["recd"]) : 0,
                            InceptionDate = reader["inception"] != DBNull.Value ? Convert.ToDateTime(reader["inception"]).ToShortDateString() : "",
                            PolicyType = reader["type"]?.ToString(),
                            Broker = reader["name"]?.ToString(),
                            QuoteStatusDate = reader["date"] != DBNull.Value ? Convert.ToDateTime(reader["date"]).ToShortDateString() : "",
                            RiskStatus = reader["status"]?.ToString()
                        });
                    }
                }
                return Request.CreateResponse(HttpStatusCode.OK, list);
            }
        }
    }
    catch (Exception ex)
    {
        return Request.CreateErrorResponse(HttpStatusCode.BadRequest, ex);
    }
}

2. 额外优化建议 #

• 不要用SELECT *，明确指定需要查询的字段，提升性能并避免不必要的数据返回。
• 对数据库读取的字段添加空值判断，避免Convert时出现空引用异常。
• 如果业务上必须使用GET请求，也不要传递完整SQL，而是将搜索条件作为URL查询参数（比如/api/SelectionHelper/RiskGridView?quoteRef=123&policyRef=ABC），后端同样用参数化查询构建SQL。

内容的提问来源于stack exchange，提问作者Chris-56