C# SqlCommand - Parameter für Spaltennamen können nicht verwendet werden.

Question

Gibt es eine Möglichkeit, das zu tun? Das funktioniert nicht:

SqlCommand command = new SqlCommand("SELECT @slot FROM Users WHERE name=@name; "); 
prikaz.Parameters.AddWithValue("name", name); 
prikaz.Parameters.AddWithValue("slot", slot); 

Das einzige, was mir einfällt, ist, SP zu verwenden und die Variable für die Spalte zu deklarieren und festzulegen. Scheint mir etwas zurückhaltend.

Answer 1

Sie können dies in regulärem SQL nicht tun - wenn Sie konfigurierbare Spaltennamen (oder Tabellennamen) haben müssen, müssen Sie dynamisches SQL verwenden - es gibt keine andere Möglichkeit, dies zu erreichen.

string sqlCommandStatement = 
    string.Format("SELECT {0} FROM dbo.Users WHERE name=@name", "slot"); 

und dann mit dem gespeicherten sp_executesql proc in SQL-Server, die SQL-Befehl auszuführen (und die anderen Parameter angeben, wie erforderlich).

Dynamic SQL hat seine Vor- und Nachteile - Lesen Sie den ultimativen Artikel auf The Curse and Blessings of Dynamic SQL fachkundig von SQL Server MVP Erland Sommarskog geschrieben.

Answer 2

Wie bereits erwähnt, können Sie die grundlegende Abfrage nicht parametrisieren, daher müssen Sie die Abfrage selbst zur Laufzeit erstellen. Sie sollten weiß-Liste die Eingabe dieser, Injection-Angriffe zu verhindern, aber im Grunde:

// TODO: verify that "slot" is an approved/expected value 
SqlCommand command = new SqlCommand("SELECT [" + slot + 
      "] FROM Users WHERE name=@name; ") 
prikaz.Parameters.AddWithValue("name", name); 

Auf diese Weise @name noch usw. parametriert