SQL Server 2008及以上：LIKE查询中字符串变量的标准转义方法

在使用参数化LIKE通配符搜索时，若用户输入包含%、_、[、]这类LIKE特殊字符，会导致匹配逻辑异常。以下是兼容SQL Server 2008的成熟解决方案：

一、SQL Server端自定义转义函数 #

SQL Server 2008没有内置的LIKE特殊字符转义函数，但可以自定义一个函数统一处理，核心是按正确顺序替换字符，避免替换后的内容被二次处理：

CREATE FUNCTION dbo.EscapeLikeSpecialChars
(
    @Input VARCHAR(MAX)
)
RETURNS VARCHAR(MAX)
AS
BEGIN
    -- 先处理[和]，再处理%和_，防止替换后的字符被重复修改
    SET @Input = REPLACE(@Input, '[', '[[]')
    SET @Input = REPLACE(@Input, ']', '[]]')
    SET @Input = REPLACE(@Input, '%', '[%]')
    SET @Input = REPLACE(@Input, '_', '[_]')
    RETURN @Input
END

使用示例 #

DECLARE @UserInput VARCHAR(50) = '[part';
DECLARE @myTable TABLE (column1 varchar(200));
INSERT INTO @myTable(column1) VALUES ('This string contains [part of the target');

SELECT column1 
FROM @myTable 
WHERE column1 LIKE '%' + dbo.EscapeLikeSpecialChars(@UserInput) + '%'

此函数通过将每个特殊字符用[]包裹，让LIKE语法将其视为普通字符，不会触发通配符逻辑。

二、.NET端预处理输入 #

如果希望在应用层完成转义、减轻数据库压力，可以编写静态方法统一处理用户输入，逻辑和SQL端函数一致：

public static string EscapeLikeSpecialChars(string input)
{
    if (string.IsNullOrEmpty(input))
        return input;
    
    // 严格按顺序替换，避免字符替换冲突
    input = input.Replace("[", "[[]");
    input = input.Replace("]", "[]]");
    input = input.Replace("%", "[%]");
    input = input.Replace("_", "[_]");
    return input;
}

使用示例 #

string userInput = "[part]";
string escapedInput = EscapeLikeSpecialChars(userInput);
// 将escapedInput作为参数传入参数化SQL语句
string sql = "SELECT column1 FROM myTable WHERE column1 LIKE '%' + @UserInput + '%'";
// 后续执行参数化查询即可

三、可选方案：使用ESCAPE关键字 #

也可以通过指定转义字符（如\）处理，需注意先转义转义字符本身：

.NET端处理代码 #

public static string EscapeLikeWithEscapeChar(string input)
{
    if (string.IsNullOrEmpty(input))
        return input;
    
    // 先转义转义符本身，避免影响其他特殊字符的转义逻辑
    input = input.Replace("\\", "\\\\");
    input = input.Replace("%", "\\%");
    input = input.Replace("_", "\\_");
    input = input.Replace("[", "\\[");
    input = input.Replace("]", "\\]");
    return input;
}

SQL查询示例 #

DECLARE @UserInput VARCHAR(50) = '[part';
SELECT column1 
FROM @myTable 
WHERE column1 LIKE '%' + @UserInput + '%' ESCAPE '\'

注意事项 #

• 替换顺序至关重要：必须先处理[和]，再处理%和_，否则会出现替换后的字符被再次修改的问题。
• 以上方案均完全兼容SQL Server 2008，无需依赖更高版本的内置函数。

内容的提问来源于stack exchange，提问作者Donald