C#使用MySQL参数化查询指定表名失败的问题求助

你遇到的问题其实是个很常见的误解——参数化查询只能用来传递SQL语句里的“值”，没法替换表名、列名这类标识符。

当你用AddWithValue或者Add传表名参数时，数据库会把这个参数当成字符串值处理，最终生成的SQL其实是类似这样的：

SELECT ip, estado FROM 'secot'

但MySQL语法里表名是不能加单引号的，加了之后数据库会把它当成字符串常量，自然就触发语法错误了。而你硬编码表名时，生成的SQL是SELECT ip, estado FROM secot，完全符合语法规范，所以能正常运行。

既然参数化不能处理表名，我们就得换思路，但一定要避免SQL注入风险，绝对不能直接把用户输入的表名拼进SQL里。推荐的步骤是：

1. 验证表名合法性：先确认传入的表名确实是数据库里存在的，或者在你预先定义的允许列表里。
2. 安全拼接SQL语句：验证通过后，再把表名拼接到SQL中。

给你一个具体的C#代码示例：

public List<(string Ip, string Estado)> LeerTabla(string nombreTabla)
{
    // 第一步：验证表是否存在，通过查询系统表来确认
    string checkTableSql = "SELECT COUNT(*) FROM information_schema.tables WHERE table_schema = DATABASE() AND table_name = @TableName";
    using (MySqlConnection conn = new MySqlConnection("你的数据库连接字符串"))
    {
        conn.Open();
        // 先检查表的合法性
        using (MySqlCommand checkCmd = new MySqlCommand(checkTableSql, conn))
        {
            checkCmd.Parameters.AddWithValue("@TableName", nombreTabla);
            int tableCount = Convert.ToInt32(checkCmd.ExecuteScalar());
            if (tableCount == 0)
            {
                throw new ArgumentException($"表 {nombreTabla} 不存在于当前数据库中");
            }
        }

        // 第二步：安全拼接SQL，用反引号包裹表名避免关键字冲突
        string querySql = $"SELECT ip, estado FROM `{nombreTabla}`";
        using (MySqlCommand queryCmd = new MySqlCommand(querySql, conn))
        {
            List<(string, string)> result = new List<(string, string)>();
            using (MySqlDataReader reader = queryCmd.ExecuteReader())
            {
                while (reader.Read())
                {
                    result.Add((reader.GetString("ip"), reader.GetString("estado")));
                }
            }
            return result;
        }
    }
}

• 用反引号（）包裹表名，能避免表名是MySQL关键字的情况（比如表名是user`时，直接写会报错，加反引号就没问题）。
• 表名验证步骤绝对不能省，不然如果传入恶意内容（比如secot; DROP TABLE otraTabla;），就会引发SQL注入攻击，破坏你的数据库。

内容的提问来源于stack exchange，提问作者Sodor