实体框架核心原始 SQL 问题

Question

我有一个History 表，其中包含C0, C1, C2, C3, TimeStamp 列。

我想根据输入选择一个特定的列以及对应的TimeStamp。

设channelId 为'C2'

var context = new DalModels.DbContext();
string command = "SELECT TimeStamp, @channelId FROM dbo.History";
var user = new SqlParameter("@channelId", channelId);
var result = context.History.FromSql(command, user).ToList();

但是我得到一个异常而不是结果：

没有为“h”的第 2 列指定列名。

列名“C0”无效。

列名“C1”无效。

列名“C2”无效。

列名“C3”无效。

列名“时间戳”无效。

Answer 1

参数化查询不能用于动态列名。参数只能用在表达式的右侧，例如在= 之后。

要解决您的问题，请将查询转换为使用变量。

var context = new DalModels.DbContext();
string command = $"SELECT TimeStamp, {channelId} FROM dbo.History";
var result = context.History.FromSql(command, user).ToList();

注意$ 用于string interpolation

然后，您必须将用户可以传递给该字段的值列入白名单，以防止 SQL 注入攻击。