在 C# 中参数化 ALTER/DROP TABLE OdbcCommand

Question

我正在尝试将代码中的 SQL 语句从连接字符串转换为参数化查询，但我无法使其适用于DROP TABLE以下ALTER TABLE情况：

using (OdbcCommand delCmd = new OdbcCommand($"DROP TABLE IF EXISTS ?", dbConnection))

{

    delCmd.Parameters.Add(new OdbcParameter("?", OdbcType.NVarChar) { Value = tableName });

    delCmd.ExecuteNonQuery();

}

using (OdbcCommand delCmd = new OdbcCommand($"ALTER TABLE ? DROP COLUMN ?", dbConnection))

{

    delCmd.Parameters.Add(new OdbcParameter("?", OdbcType.NVarChar) { Value = tableName });

    delCmd.Parameters.Add(new OdbcParameter("?", OdbcType.NVarChar) { Value = columnName });

    delCmd.ExecuteNonQuery();

}

我尝试将[]or添加''到查询字符串或参数中，但从未使其正常工作。

我收到运行时错误：

错误 [42000] [Microsoft][SQL Server 的 ODBC 驱动程序 13][SQL Server]“@P1”附近的语法不正确。`

关于如何让这些查询工作的任何建议都会有很大的帮助！

Answer 1

您不能提供表、字段名称作为参数；但您可以使用格式化或字符串插值： //TODO: validate tableName and columnName here  //since formatting / string interpolation prone to SQL injection // e.g.  // if (!Regex.IsMatch(tableName, "^[A-Za-z][A-Za-z0-9_]*$")) {/* wrong table */} using (OdbcCommand delCmd = new OdbcCommand(   $"ALTER TABLE {tableName} DROP COLUMN {columnName}",      dbConnection))  {      delCmd.ExecuteNonQuery(); }