Възможно ли е да се направи заявка за зададено от потребителя име на колона, без да се прибягва до динамичен SQL?

За съжаление имената на таблици, имена на колони не могат да бъдат параметризирани. Тъй като знаете структурата на таблицата, можете да имате бял списък с възможни имена на колони в този параметър и след това да използвате конкатенация на низове за него, за да избегнете SQL инжектиране:

"WHERE " + Sanitize(column) + " = @Value");