动态SQL中含单引号的@Data值如何实现插入或更新操作？

问题根源 #

手动拼接动态SQL时，变量里的单引号会破坏SQL语句的语法结构。比如@Data取值为abc's时，拼出来的SQL片段会是[DATA] = 'abc's'——中间的单引号会提前闭合字符串，直接触发语法错误。

解决方案 #

方法1：自动转义单引号（快速解决）

用REPLACE函数把变量里的每个单引号替换成两个单引号（SQL语法中，两个单引号表示一个单引号），不管变量里有没有单引号都能兼容，无单引号时替换操作不会生效。

修改后的代码：

SET @SQL = ' Update '+ @ProcessCode + '_abc SET IS_IGNORING = 1 where Column_Name = '''+ REPLACE(@Column_Name, '''', '''''') +''' and [DATA] = ''' + REPLACE(@Data, '''', '''''') + ''' and Table_name = '''+ REPLACE(@Table_Name, '''', '''''') + ''''

比如@Data是abc's，替换后会变成abc''s，拼到SQL里就是[DATA] = 'abc''s'，SQL引擎会正确识别为包含单引号的字符串。

方法2：参数化动态SQL（推荐，更安全）

用sp_executesql执行参数化的动态SQL，不需要手动拼接变量字符串，直接把变量作为参数传递，SQL Server会自动处理单引号问题，还能避免SQL注入风险。

示例代码：

DECLARE @SQL NVARCHAR(MAX)
-- 用QUOTENAME处理表名，防止注入风险
SET @SQL = N' Update ' + QUOTENAME(@ProcessCode + '_abc') + N' SET IS_IGNORING = 1 where Column_Name = @ColName and [DATA] = @DataVal and Table_name = @TableName'

-- 执行参数化SQL
EXEC sp_executesql 
    @SQL,
    -- 定义参数类型
    N'@ColName NVARCHAR(MAX), @DataVal NVARCHAR(MAX), @TableName NVARCHAR(MAX)',
    -- 传递变量值
    @ColName = @Column_Name,
    @DataVal = @Data,
    @TableName = @Table_Name

这种方式不需要对变量做任何转义处理，不管变量有没有单引号都能正常执行，同时大幅降低SQL注入的风险，是更规范的写法。

内容的提问来源于stack exchange，提问作者NEW TALENT