c# - 使用双引号和参数添加到查询

Question

我可以在 PgAdminIII 中运行的原始查询:

SELECT * FROM oestrat."Themenfeld"

oestrat 和 Themenfeld 是来自 Winform 文本框的字符串。

所以我在 VS 中的查询是:

string qry = "SELECT * FROM @schema.\"@line\"";

NpgsqlCommand cmd = conn.CreateCommand();
cmd.Parameters.Add(new NpgsqlParameter("@schema", tbSchema.Text)); // tbSchema.Text = oestrat
cmd.Parameters.Add(new NpgsqlParameter("@line", l)); // string l = Themenfeld

cmd.CommandText = qry;

conn.Open();
NpgsqlDataReader dr = cmd.ExecuteReader();

while (dr.Read()) <<< ERROR
{
     ....
}

它总是捕获异常:

42601: syntax error at or near "@"

Answer 1

我认为您不能将表名指定为参数...只能将值指定为参数。

相反，要么有一个允许的表名白名单，或者至少有一个表名中允许的字符的白名单，将其应用于您的用户输入，然后 - 小心 - 构建动态的 SQL。