如何在SQL Server中基于包含逻辑运算符的字符串构建查询？（含多文本框条件组合场景）

针对你这种三个文本框搭配逻辑运算符来构建搜索条件的场景，最优的实现方案必然是参数化动态SQL——既彻底规避SQL注入风险，又能精准生成符合(A op B) op C优先级的WHERE子句。下面给你一步步拆解实现思路和可直接复用的代码：

一、存储过程参数设计 #

首先定义存储过程的输入参数，完全对应你的业务场景：

• 三个短语参数：@PhraseA、@PhraseB、@PhraseC（支持空值，处理用户未输入的情况）
• 两个运算符参数：@OpAB（A和B之间的逻辑符）、@OpBC（(A op B)和C之间的逻辑符），限定为AND或OR

二、动态条件拼接逻辑 #

核心是分两步拼接条件，严格维护逻辑优先级：

1. 先组合A和B的条件，用括号保证局部优先级；
2. 再将第一步的结果和C组合，同样用括号锁定(A op B) op C的整体顺序；
3. 自动忽略空短语，避免生成无效的查询条件。

三、完整存储过程代码 #

CREATE PROCEDURE dbo.SearchTargetTable
    @PhraseA NVARCHAR(200) = NULL,
    @PhraseB NVARCHAR(200) = NULL,
    @PhraseC NVARCHAR(200) = NULL,
    @OpAB NCHAR(3) = 'AND', -- 默认AND，仅接受'AND'/'OR'
    @OpBC NCHAR(3) = 'AND'  -- 默认AND，仅接受'AND'/'OR'
AS
BEGIN
    SET NOCOUNT ON;

    -- 校验运算符合法性
    IF @OpAB NOT IN ('AND', 'OR') OR @OpBC NOT IN ('AND', 'OR')
    BEGIN
        RAISERROR('逻辑运算符只能是AND或OR', 16, 1);
        RETURN;
    END

    DECLARE @DynamicSQL NVARCHAR(MAX);
    DECLARE @ABCondition NVARCHAR(MAX) = '';
    DECLARE @FullCondition NVARCHAR(MAX) = '';

    -- 拼接A和B的组合条件（自动转义LIKE通配符）
    IF @PhraseA IS NOT NULL AND @PhraseA <> ''
    BEGIN
        SET @ABCondition = N'TextColumn LIKE N''%'' + REPLACE(REPLACE(@PhraseA, N''%'', N''[%]''), N''_'', N''[_]'') + N''%''';
    END

    IF @PhraseB IS NOT NULL AND @PhraseB <> ''
    BEGIN
        IF @ABCondition <> ''
        BEGIN
            SET @ABCondition = N'(' + @ABCondition + N' ' + @OpAB + N' TextColumn LIKE N''%'' + REPLACE(REPLACE(@PhraseB, N''%'', N''[%]''), N''_'', N''[_]'') + N''%'')';
        END
        ELSE
        BEGIN
            SET @ABCondition = N'TextColumn LIKE N''%'' + REPLACE(REPLACE(@PhraseB, N''%'', N''[%]''), N''_'', N''[_]'') + N''%''';
        END
    END

    -- 拼接和C的最终条件
    SET @FullCondition = @ABCondition;
    IF @PhraseC IS NOT NULL AND @PhraseC <> ''
    BEGIN
        IF @FullCondition <> ''
        BEGIN
            SET @FullCondition = N'(' + @FullCondition + N' ' + @OpBC + N' TextColumn LIKE N''%'' + REPLACE(REPLACE(@PhraseC, N''%'', N''[%]''), N''_'', N''[_]'') + N''%'')';
        END
        ELSE
        BEGIN
            SET @FullCondition = N'TextColumn LIKE N''%'' + REPLACE(REPLACE(@PhraseC, N''%'', N''[%]''), N''_'', N''[_]'') + N''%''';
        END
    END

    -- 执行查询（至少要有一个有效短语）
    IF @FullCondition <> ''
    BEGIN
        SET @DynamicSQL = N'SELECT * FROM YourTargetTable WHERE ' + @FullCondition;
        -- 使用sp_executesql实现参数化，彻底防注入
        EXEC sp_executesql @DynamicSQL,
            N'@PhraseA NVARCHAR(200), @PhraseB NVARCHAR(200), @PhraseC NVARCHAR(200)',
            @PhraseA = @PhraseA,
            @PhraseB = @PhraseB,
            @PhraseC = @PhraseC;
    END
    ELSE
    BEGIN
        RAISERROR('请至少输入一个搜索短语', 16, 1);
    END
END
GO

四、方案优势说明 #

1. 绝对安全的参数化：所有用户输入的短语都通过sp_executesql的参数传递，不会直接拼入SQL字符串，彻底杜绝SQL注入风险，这是SQL Server处理动态查询的官方推荐最佳实践。
2. 精准的逻辑优先级：通过括号严格保证(A op B) op C的运算顺序，完全匹配你需求中的例子（比如(Hello mary AND job for) OR dentist）。
3. 灵活的空值处理：如果某个文本框未输入内容，会自动跳过该条件，比如用户只填了A和C，运算符选OR，就会生成A OR C的有效条件。
4. 通配符转义：代码中加入了REPLACE处理LIKE的特殊字符（%、_），避免用户输入的短语中包含这些字符时出现意外匹配。

五、使用示例 #

比如你提到的场景：A输入Hello mary，B输入job for，AB之间选AND，BC之间选OR，C输入dentist，执行存储过程：

EXEC dbo.SearchTargetTable 
    @PhraseA = N'Hello mary',
    @PhraseB = N'job for',
    @PhraseC = N'dentist',
    @OpAB = N'AND',
    @OpBC = N'OR';

生成的查询语句就是：

SELECT * FROM YourTargetTable WHERE ((TextColumn LIKE N'%Hello mary%' AND TextColumn LIKE N'%job for%') OR TextColumn LIKE N'%dentist%')

内容的提问来源于stack exchange，提问作者Maryam