匿名对象能防sql注入是因为dapper将属性名与sql中@参数严格匹配，所有值均通过sqlparameter传递，实现sql模板与数据的机制级隔离；必须用匿名对象的场景包括where值、in子句、动态条件等，而order by/group by列名须白名单校验。
为什么匿名对象能防SQL注入
因为Dapper在内部把匿名对象的属性名和SQL中的@参数名严格匹配，所有值都走ADO.NET底层的SqlParameter机制——数据库引擎收到的是分离的SQL模板和独立数据流，根本不会把"'; DROP TABLE Users; --"当语法解析。
这不是“大概率安全”，而是机制级隔离：哪怕你传new { Name = "admin' OR 1=1 --" }，最终执行的仍是WHERE Name = @Name，参数值只是被当作字符串字面量。
哪些地方必须用匿名对象，不能用字符串拼接
以下场景一旦出现$""、string.Format或+拼接用户输入，就等于直接开门放攻击者进来：
-
WHERE条件里的字段值（如UserName = '{userInput}'） -
ORDER BY后面的列名（表名列名必须白名单校验，不能靠参数化） -
IN子句的值列表（错误写法："IN (" + string.Join(",", ids) + ")"） - 任何带单引号、分号、
--、/*的用户输入参与SQL构造的位置
IN查询怎么用匿名对象安全实现
Dapper原生支持IEnumerable参数自动展开为多参数，不需要手写@id0, @id1：
var ids = new[] { 101, 102, 103 };
var sql = "SELECT * FROM Orders WHERE Id IN @Ids";
var orders = connection.Query<order>(sql, new { Ids = ids });
</order>
注意三点：
- SQL里写
IN @Ids，不是IN (@Ids)，括号由Dapper自动补 -
Ids属性名必须和SQL中@Ids完全一致（大小写敏感） - 数组为空时，Dapper会生成
IN (NULL)，查不到结果——这是预期行为，不是bug
动态WHERE条件怎么避免拼SQL字符串
不能靠if拼sql += " AND Name = @Name"，而应统一用匿名对象+条件过滤：
var parameters = new Dictionary<string object>();
var sql = "SELECT * FROM Users WHERE 1=1";
<p>if (!string.IsNullOrEmpty(name)) {
sql += " AND Name = @Name";
parameters["Name"] = name;
}
if (minAge > 0) {
sql += " AND Age >= @MinAge";
parameters["MinAge"] = minAge;
}</p>
<p>// 转成匿名对象（仅限简单场景）
var anon = new { };
if (parameters.Count > 0) {
anon = new { Name = parameters.GetValueOrDefault("Name"), MinAge = parameters.GetValueOrDefault("MinAge") };
}
var users = connection.Query<user>(sql, anon);
</user></p></string>
更稳妥的做法是用DynamicParameters，它天然支持动态添加，且类型明确：
var p = new DynamicParameters();
p.Add("@Name", name);
p.Add("@MinAge", minAge);
// 只有非空才加条件
sql += !string.IsNullOrEmpty(name) ? " AND Name = @Name" : "";
sql += minAge > 0 ? " AND Age >= @MinAge" : "";
var users = connection.Query<user>(sql, p);
</user>
关键点：SQL结构（AND、WHERE）可以拼，但所有用户数据必须进DynamicParameters或匿名对象，绝不混入SQL字符串。
最易被忽略的是ORDER BY和GROUP BY——它们不支持参数化，必须用白名单硬编码或枚举校验，比如switch (sortField) { case "Name": sql += " ORDER BY Name"; break; }。别试图给列名加@参数，那没用。
