從C＃創建SQL Server數據庫 - 使用參數

Question

我試圖把一個代碼來創建從我的C＃代碼（asp.net網站）一個數據庫。

這是我的代碼：

SqlCommand myCommand = new SqlCommand("CREATE DATABASE @dbname", nn); 
myCommand.Parameters.Add("dbname", dbname); 

myCommand.ExecuteNonQuery(); 
nn.Close(); 

很好，它不工作。它給我一個錯誤：

incorrect syntax near '@dbname'

但是。如果我不使用參數，人們可以對我的數據庫注入SQL。你有什麼想法如何使用任何東西，從文本框中獲取數據庫名稱。那人不能SQL注入我的數據庫？

Answer 1

不能使用CREATE DATABASE參數或其他DDL命令。

我建議使用SQL Server Management Objects而不是SQL