SqlParameter传参问题，提示没有声明的表变量“tableName ”

Question

 C#代码如下：    
 String cmdText = @"select [CurrentYear],[CorpCode],[ItemCode],[Mark],[LikeLen] from @tableName where 1 = 1";            List<SqlParameter> parameters = new List<SqlParameter>();
            parameters.Add(new SqlParameter("@tableName", SqlDbType.VarChar, 4000));
            parameters[parameters.Count - 1].Value = rule.TableName;不是提供了表名的参数了么？
正确的因该是怎样的？？？？

Answer 1

String cmdText = @"select [CurrentYear],[CorpCode],[ItemCode],[Mark],[LikeLen] from "+rule.TableName +"  where 1 = 1";这样用.

Answer 2

这个明显的不安全，如果那个rule.TableName是 “a;delete form ……”数据库就完了

Answer 3

对。但你这是动态语句，不能用你的方式做的。你要么在C#中拼好SQL，要么在SQL端用EXEC执行。总之都有机会SQL注入，你自己把握好了。

Answer 4

动态SQL 不 支持 表名动态哈