Apa cara terbaik untuk memilih nama tabel secara dinamis saat runtime?

Anda tidak dapat memparameterisasikan pengidentifikasi (nama tabel atau nama field) di MySQL, namun Anda dapat menghindarinya menggunakan backticks.

Kueri berikut akan berjalan dengan aman tetapi menghasilkan kesalahan karena tabel tidak ada (kecuali karena suatu kebetulan Anda benar-benar memiliki tabel bernama seperti ini):

SELECT * FROM `users; DROP TABLE users;`;

Pada dasarnya, Anda dapat menggunakan nama atau bidang dinamis selama mereka diapit dengan tanda centang balik. Untuk mencegah injeksi SQL dengan cara ini, yang perlu Anda lakukan adalah menghapus backtick terlebih dahulu:

tableName = tableName.Replace("`", "");
string commandText = "SELECT COUNT(*) FROM `" + tableName + "`";