Работы с двойными кавычками и параметр добавления в запрос

Question

Оригинал запроса, который я могу запустить положителен в PgAdminIII:

SELECT * FROM oestrat."Themenfeld" 

oestrat и Themenfeld представляет собой строка, поступающая из Winform текстовых полей.

Так что мой запрос в VS будет:

string qry = "SELECT * FROM @schema.\"@line\""; 

NpgsqlCommand cmd = conn.CreateCommand(); 
cmd.Parameters.Add(new NpgsqlParameter("@schema", tbSchema.Text)); // tbSchema.Text = oestrat 
cmd.Parameters.Add(new NpgsqlParameter("@line", l)); // string l = Themenfeld 

cmd.CommandText = qry; 

conn.Open(); 
NpgsqlDataReader dr = cmd.ExecuteReader(); 

while (dr.Read()) <<< ERROR 
{ 
    .... 
} 

Он всегда ловит исключение:

42601: syntax error at or near "@" 

Answer 1

Я не верю, вы можете указать имена таблиц в качестве параметров ... только значения могут быть указаны как параметры.

Вместо этого либо есть белый список разрешенных имен таблиц, либо, по крайней мере, белый список разрешенных символов в именах таблиц, примените это к пользовательскому вводу, а затем - тщательно - постройте SQL динамически.

Answer 2

Просто разобрать имя схемы и таблицы в строку ...

string qry = $"SELECT * FROM {tbSchema.Text}.{l}"; 

Очевидно вы очистили эти входные значения для инъекции SQL ...