如何在Entity Framework中动态查询未知表的指定字段？

嘿，这个问题确实戳中了EF强类型特性的一个小痛点——毕竟EF原本就是为了强类型实体设计的，但咱们还是有几种靠谱的办法来实现你要的动态查询：

1. 直接用ADO.NET底层操作（最灵活） #

既然你只需要获取单个Name字段，完全可以绕过EF的实体约束，直接用原生的数据库连接来执行查询。这种方式不需要提前定义任何实体类，而且能很好地防范SQL注入：

public string GetEntityName(string tableName, int recordId)
{
    // 从EF上下文拿到数据库连接
    using (var command = context.Database.Connection.CreateCommand())
    {
        // 注意：表名无法参数化，所以必须确保tableName是可信的（比如来自内部枚举，而非用户直接输入）
        command.CommandText = $"SELECT Name FROM {tableName} WHERE Id = @RecordId";
        
        // 对ID进行参数化，彻底避免SQL注入
        var idParam = command.CreateParameter();
        idParam.ParameterName = "@RecordId";
        idParam.Value = recordId;
        command.Parameters.Add(idParam);

        try
        {
            context.Database.Connection.Open();
            using (var reader = command.ExecuteReader())
            {
                if (reader.Read())
                {
                    return reader["Name"].ToString();
                }
                return null; // 未找到对应记录时返回null
            }
        }
        finally
        {
            // 确保连接关闭，即使发生异常
            if (context.Database.Connection.State == ConnectionState.Open)
            {
                context.Database.Connection.Close();
            }
        }
    }
}

2. 用EF配合通用DTO（更贴合EF生态） #

如果你还是想尽量留在EF的体系里，可以定义一个极简的通用DTO，用来承载查询结果：

// 通用DTO，只要表有Name字段就能用
public class NameOnlyResult
{
    public string Name { get; set; }
}

public string GetEntityName(string tableName, int recordId)
{
    var queryResult = context.Database.SqlQuery<NameOnlyResult>(
        $"SELECT Name FROM {tableName} WHERE Id = @p0", 
        recordId)
        .FirstOrDefault();
    
    return queryResult?.Name;
}

注意：同样要保证tableName的安全性——因为SQL语法中表名不能通过参数化传递，所以绝对不能直接接受用户输入的表名，最好是从预定义的列表中选择。

针对EF Core的补充 #

如果你用的是EF Core，语法会略有不同，可以用FromSqlRaw来实现：

public async Task<string> GetEntityNameAsync(string tableName, int recordId)
{
    var result = await context.Set<NameOnlyResult>()
        .FromSqlRaw($"SELECT Name FROM {tableName} WHERE Id = @Id", new SqlParameter("@Id", recordId))
        .FirstOrDefaultAsync();
    
    return result?.Name;
}

这里的NameOnlyResult不需要在DbContext中配置实体映射，因为我们只是用它来接收查询结果。

关键注意事项 #

• SQL注入防护：ID一定要参数化，表名必须是可信来源（比如内部配置的表名列表），绝对不能直接拼接用户输入的表名或ID。
• 数据库权限：确保EF使用的数据库账号有对应表的查询权限。
• 空值处理：要考虑到查询不到记录的情况，返回null或空字符串都可以，根据你的业务需求调整。

内容的提问来源于stack exchange，提问作者Steve Grixti