sqlserver 动态sql防止注入

DECLARE @Sql NVARCHAR(MAX)
DECLARE @ParamDefinition NVARCHAR(MAX)
DECLARE @SearchString NVARCHAR(256)
 
-- 假设 @SearchString 是用户输入，它应该被防止注入
SET @SearchString = '%' + REPLACE(@SearchString, '%', '[%]') + '%'
 
-- 构建动态SQL语句
SET @Sql = N'SELECT * FROM YourTable WHERE YourColumn LIKE @SearchString'
 
-- 设置参数定义
SET @ParamDefinition = N'@SearchString NVARCHAR(256)'
 
-- 将用户输入作为参数值传递
EXEC sp_executesql @Sql, @ParamDefinition, @SearchString = @SearchString