Как исправить проблему с SQL-инъекцией усечения таблицы

Вам нужен динамический sql:

string sql = @"
    DECLARE @SQL nvarchar(150); 
    SELECT @SQL = 'truncate table ' + quotename(table_name) + ';'
        FROM information_schema.tables 
        WHERE table_name = @table;
    EXEC(@SQL);";

using (var connection = new SqlConnection("connection string here"))
using (var cmd = new SqlCommand(sql, connection))
{
    cmd.Transaction = transaction;
    cmd.Parameters.Add("@table", SqlDbType.NVarChar, 128).Value = tablename;
    connection.Open();
    cmd.ExecuteNonQuery();
}

Это один из немногих случаев, когда динамический SQL делает вещи более безопасными, а не менее. Еще лучше, если вы также поддерживаете специальную таблицу в этой базе данных, в которой перечислены другие таблицы, которые пользователям разрешено усекать, и используйте ее, а не information_schema для проверки имени. Идея позволить пользователям просто обрезать что-нибудь немного пугает.

Параметризованный или нет, в этом случае вы можете сделать его лишь немного более защищенным. Никогда не был полностью обеспечен. Для этого вам нужно

создайте таблицу TruncMapping в БД, где вы будете хранить
id guid
statement varchar(300)
ваши данные будут выглядеть так
SOME-GUID-XXX-YYY, 'TRUNCATE TABLE TBL1'

• В интерфейсе используйте listbox или combobox с текстом/значением, например "Customer Data"/"SOME-GUID-XXX-YYY"
• В вашем коде используйте ExecuteScalar для выполнения Select statement from TruncMapping where id = @1 , где id будет параметризованным GUID из комбинированного значения.
• Выполните команду усечения, используя ExecuteNonQuery, как вы это делаете сейчас, но с извлеченной строкой из предыдущего вызова.

Ваш сканер, скорее всего, задохнется. Если он все еще думает, что код небезопасен, вы можете смело указывать это как ложное срабатывание, потому что то, что вы выполняете, исходит из вашей защищенной БД. У потенциального злоумышленника нет возможности саботировать ваши «неизменяемые таблицы», потому что они не указаны в TruncMapping таблицах.

Вы только что создали многоуровневую защиту от SQL-инъекций.

вот один из способов скрыть его от инструментов сканирования

private const string _sql = "VFJVTkNBVEUgVEFCTEU=";
. . . . 

var temp = new { t = tablename };
cmd.CommandText = 
    Encoding.ASCII.GetString(Convert.FromBase64String(_sql)) + temp.t.PadLeft(temp.t.Length + 1);

безопасность через неизвестность