C# SqlCommand - kan inte använda parametrar för kolumnnamn, hur löser man det?

Som har nämnts kan du inte parametrisera den grundläggande frågan, så du måste bygga själva frågan vid körning. Du bör vitlista input av detta, för att förhindra injektionsattacker, men i grunden:

// TODO: verify that "slot" is an approved/expected value
SqlCommand command = new SqlCommand("SELECT [" + slot +
           "] FROM Users WHERE [email protected]; ")
prikaz.Parameters.AddWithValue("name", name);

På så sätt @name är fortfarande parametriserad etc.