c# - 使用列名称的字符串列表查询 SQL 表

Question

我有两个问题1. 我有一个字符串列表，它是列名。我如何在 SQL 查询中使用它？2、该方法是否容易出现SQL注入(inject)？

这是我现在拥有的，

List<string> Columnnames = new List<string>();

 cmd = new SqlCommand("Select "+Columnnames+" from test");

Answer 1

回答您的问题:

问题 1 - 将您的代码更改为:

List<string> Columnnames = new List<string>();

// Code that populates Columnnames here

cmd = new SqlCommand("Select " + string.Join(",", Columnnames) + " from test");

问题 2 - 取决于您如何填充 Columnnames。如果这是通过网络输入填充的，那么可以。