在C#应用程序开发中，动态SQL查询是应对灵活查询需求的常用手段，比如根据用户输入的筛选条件、排序规则动态生成查询语句。不过动态SQL的使用如果缺乏规范，很容易引入严重的安全隐患，尤其是SQL注入攻击，会对数据库安全造成极大威胁。
C#执行动态SQL的常见方式
1. 直接拼接字符串执行
这种方式是将查询条件和SQL语句直接拼接成完整的字符串，再通过ADO.NET的相关对象执行。示例代码如下：
using System.Data.SqlClient;
string userName = "testUser";
string querySql = "SELECT * FROM Users WHERE UserName = '" + userName + "'";
using (SqlConnection conn = new SqlConnection("Server=127.0.0.1;Database=TestDB;Integrated Security=True"))
{
conn.Open();
SqlCommand cmd = new SqlCommand(querySql, conn);
SqlDataReader reader = cmd.ExecuteReader();
while (reader.Read())
{
// 处理查询结果
Console.WriteLine(reader["UserId"]);
}
}
2. 使用参数化查询执行动态SQL
参数化查询通过占位符代替直接拼接的变量，将参数值和SQL语句分开传递，是更安全的动态SQL执行方式。示例代码如下：
using System.Data.SqlClient;
string userName = "testUser";
string querySql = "SELECT * FROM Users WHERE UserName = @UserName";
using (SqlConnection conn = new SqlConnection("Server=127.0.0.1;Database=TestDB;Integrated Security=True"))
{
conn.Open();
SqlCommand cmd = new SqlCommand(querySql, conn);
// 添加参数，指定参数类型和值
cmd.Parameters.Add(new SqlParameter("@UserName", System.Data.SqlDbType.NVarChar) { Value = userName });
SqlDataReader reader = cmd.ExecuteReader();
while (reader.Read())
{
Console.WriteLine(reader["UserId"]);
}
}
3. 结合条件动态拼接参数化SQL
当查询条件不确定时，可以先拼接SQL的框架，再动态添加对应的参数，既满足灵活性又保障安全。示例代码如下：
using System.Data.SqlClient;
using System.Text;
string userName = "testUser";
int? minAge = 18;
StringBuilder sqlBuilder = new StringBuilder("SELECT * FROM Users WHERE 1=1");
List<SqlParameter> parameters = new List<SqlParameter>();
if (!string.IsNullOrEmpty(userName))
{
sqlBuilder.Append(" AND UserName = @UserName");
parameters.Add(new SqlParameter("@UserName", System.Data.SqlDbType.NVarChar) { Value = userName });
}
if (minAge.HasValue)
{
sqlBuilder.Append(" AND Age >= @MinAge");
parameters.Add(new SqlParameter("@MinAge", System.Data.SqlDbType.Int) { Value = minAge.Value });
}
using (SqlConnection conn = new SqlConnection("Server=127.0.0.1;Database=TestDB;Integrated Security=True"))
{
conn.Open();
SqlCommand cmd = new SqlCommand(sqlBuilder.ToString(), conn);
cmd.Parameters.AddRange(parameters.ToArray());
SqlDataReader reader = cmd.ExecuteReader();
while (reader.Read())
{
Console.WriteLine(reader["UserId"]);
}
}
执行动态SQL需要注意的安全问题
1. SQL注入风险
直接拼接用户输入到SQL语句中是SQL注入的主要诱因。如果用户输入的内容包含恶意的SQL片段，比如输入' OR '1'='1，拼接后的SQL会变成SELECT * FROM Users WHERE UserName = '' OR '1'='1'，会查询出所有用户数据，甚至可以被攻击者用来执行删表、篡改数据等恶意操作。
2. 权限过度开放问题
执行动态SQL的数据库账号如果拥有过高的权限，比如拥有删库、修改表结构的权限，一旦动态SQL被注入攻击利用，造成的损失会成倍扩大。应该遵循最小权限原则，给应用程序使用的数据库账号只分配必要的查询、插入、更新、删除权限，避免分配管理员权限。
3. 敏感信息泄露风险
动态SQL执行过程中如果直接将错误信息返回给用户，可能会暴露数据库表结构、字段名等敏感信息，辅助攻击者构造更精准的注入语句。应该对错误信息进行统一处理，只返回通用的错误提示，同时将详细错误记录到服务器日志中。
动态SQL安全防护建议
- 优先使用参数化查询，避免直接拼接用户输入到SQL语句中，参数化查询会让数据库将参数值当作数据而不是可执行代码处理，从根源上防止SQL注入。
- 对用户输入的内容进行合法性校验，比如限制输入长度、过滤特殊字符，只允许符合业务规则的输入进入SQL拼接流程。
- 定期审计动态SQL的执行逻辑，检查是否存在拼接用户输入的漏洞，同时监控数据库的异常查询日志，及时发现潜在的攻击行为。
- 如果必须使用拼接方式生成动态SQL，比如需要动态指定表名、排序字段，要对输入的内容进行严格的白名单校验，只允许预定义的安全值通过，禁止直接拼接用户输入的任意内容。
注意：即使是参数化查询，也不要将表名、排序字段等结构类内容作为参数传递，这类内容无法通过参数化实现，必须做白名单校验后再拼接。
不同场景下的选择建议
如果查询条件固定，优先使用存储过程或者完全参数化的静态SQL；如果查询条件灵活多变，需要动态生成查询逻辑，优先选择参数化拼接的方式，避免直接字符串拼接。对于需要动态指定表名、排序规则的场景，务必做好白名单校验，禁止将用户输入直接拼接到SQL的结构部分。