c# - 添加参数的问题

Question

SqlParameter param = new SqlParameter();
param.ParameterName = "@name";
param.Value = tableName;
SqlCommand cmd = new SqlCommand("select * from @name", con);
cmd.Parameters.Add(param);
SqlDataReader rd = cmd.ExecuteReader();

以上代码导致以下错误消息:

Must declare the table variable "@name".

为什么会出现此错误，我该如何解决？

Answer 1

参数化查询通常处理查询中值的参数——而不是表名、列名等。我认为 SQL Server 不支持参数化表名。

您可能希望将名称限制为一组已知的有效表名称(以避免 SQL 注入(inject)攻击等)，并使用正常的字符串替换/格式化/任何构造查询。