使字符串参数安全地用在动态查询中

           set  ANSI_NULLS  ON
set  QUOTED_IDENTIFIER  ON
go



ALTER    FUNCTION   [ dbo ] . [ fnSafeDynamicString ]
--  make string parameters safe for use in dynamic strings
    ( @chvInput   varchar ( 8000 ),
      @bitLikeSafe   bit   =   0 )  --  set to 1 if string will be used in LIKE
RETURNS   varchar ( 8000 )
AS
BEGIN
     declare   @chvOutput   varchar ( 8000 )
     --  replace single quote
     set   @chvOutput   =   Replace ( @chvInput ,  char ( 39 ),  char ( 39 )  +   char ( 39 ))
     if   @bitLikeSafe   =   1
     begin
         --  convert square bracket
         set   @chvOutput   =   Replace ( @chvOutput ,  ' [ ' ,  ' [[] ' )
         --  convert wild cards
         set   @chvOutput   =   Replace ( @chvOutput ,  ' % ' ,  ' [%] ' )
         set   @chvOutput   =   Replace ( @chvOutput ,  ' _ ' ,  ' [_] ' )

     end
RETURN  ( @chvOutput )
END