C# SqlCommand - non è possibile utilizzare i parametri per i nomi delle colonne, come risolvere?

Question

Esiste un modo per farlo? Questo non funziona:

SqlCommand command = new SqlCommand("SELECT @slot FROM Users WHERE name=@name; "); 
prikaz.Parameters.AddWithValue("name", name); 
prikaz.Parameters.AddWithValue("slot", slot); 

L'unica cosa che mi viene in mente è quello di utilizzare SP e dichiarare e impostare la variabile per la colonna. Mi sembra un po 'imbarazzante.

Answer 1

Non è possibile eseguire questa operazione in SQL standard: se è necessario disporre di nomi di colonne configurabili (o nome tabella, per quella materia), è necessario utilizzare SQL dinamico: non esiste altro modo per ottenere ciò.

string sqlCommandStatement = 
    string.Format("SELECT {0} FROM dbo.Users WHERE name=@name", "slot"); 

e quindi usare il sp_executesql stored procedure in SQL Server per eseguire il comando SQL (e specificare gli altri parametri in base alle esigenze).

Dynamic SQL ha i suoi pro e contro - leggere l'ultimo articolo su The Curse and Blessings of Dynamic SQL scritto da esperti di SQL Server MVP Erland Sommarskog.

Answer 2

Come è stato menzionato, non è possibile parametrizzare la query fondamentale, quindi sarà necessario creare la query stessa in fase di esecuzione. Si dovrebbe white-list l'ingresso di questo, per prevenire attacchi di iniezione, ma fondamentalmente:

// TODO: verify that "slot" is an approved/expected value 
SqlCommand command = new SqlCommand("SELECT [" + slot + 
      "] FROM Users WHERE name=@name; ") 
prikaz.Parameters.AddWithValue("name", name); 

questo modo @name è ancora parametrizzata ecc