动态排序字段必须用白名单校验，禁止参数化；因SQL协议限制，数据库不支持列名参数绑定，错误处理会抛异常或静默降级；方向参数也需白名单控制，且白名单须严格匹配、大小写敏感、服务端校验、随业务同步更新。
动态排序字段（如 ORDER BY 后的列名）根本不能用 @param 参数化，Dapper 对它完全无感——这不是 Dapper 的缺陷，是 SQL 协议本身的限制。安全方案只有一条路：白名单校验 + 显式拒绝非法输入。
为什么 ORDER BY @sortColumn 会直接报错或被忽略
SQL Server、PostgreSQL、SQLite 等主流数据库引擎都不允许把标识符（列名、表名、函数名）作为参数绑定。你写 "ORDER BY @col"，数据库会把它当成一个字面量字符串或未声明变量，轻则抛出 Invalid column name '@col'，重则静默降级为默认排序（比如按主键），还可能因类型不匹配导致查询失败。Dapper 不会拦截或“修复”这种语法错误，它只负责把参数值安全传给 ADO.NET Command。
如何实现安全的动态排序
必须把用户输入的排序字段名和预设白名单做精确比对，不匹配就拒掉。别试图“过滤关键词”或“转义”，那毫无意义。
- 白名单应定义为
static readonly string[] ValidSortColumns = { "Name", "CreatedAt", "Status", "Score" };，且严格区分大小写 - 校验逻辑要放在拼接 SQL 前，例如：
if (!ValidSortColumns.Contains(sortField)) throw new ArgumentException("Invalid sort field"); - 拼接时用字符串插值或
string.Concat，但仅限白名单内的值：sql += $" ORDER BY {sortField} {direction}"; -
direction（ASC/DESC）也需白名单控制，禁止用户直接传入任意字符串，避免注入ASC; DROP TABLE users--类 payload
别踩这些坑
常见错误不是技术不会用，而是误判风险边界：
- 用
QUOTENAME(sortField)包裹后拼进 SQL —— 这在 SQL Server 存储过程中可行，但在 C# 层拼接时，如果sortField是"Name; DROP TABLE users"，QUOTENAME会输出[Name; DROP TABLE users]，依然非法且可能触发解析异常 - 对字段名做
.Replace("'", "''")或正则替换 —— 白名单之外的字符再怎么转义也没用，攻击者根本不需要单引号就能构造有效 payload（比如通过注释符或空格绕过） - 把白名单藏在配置文件里却没加校验逻辑 —— 配置可被篡改，代码层仍需运行时校验
- 认为“前端已校验，后端不用再查” —— 所有校验必须服务端执行，前端控制形同虚设
最易被忽略的一点：白名单必须覆盖业务所有合法排序场景，且随需求迭代同步更新。一旦漏掉一个字段（比如新增了 LastLoginTime），用户点击该列排序就会 500，而不是静默失败或降级——这本身就是一种可用性层面的安全信号。
