存储过程变量特殊字符转义问题求助（附游标实现代码）

你的问题出在动态SQL字符串拼接上——当字段包含单引号时，会直接破坏拼接后的SQL语法结构，导致报错。而QUOTENAME()函数是用来给表名、列名这类数据库对象添加分隔符（默认方括号）的，根本不适合处理字符串值的单引号转义，所以没效果。

下面给你两种解决方案，优先推荐第一种更高效的写法：

方案一：彻底移除游标与动态SQL（最优解） #

你的需求本质是把查询结果插入新表，完全没必要用游标和动态SQL，直接用SELECT INTO就能一步完成，既规避特殊字符问题，又大幅提升执行效率：

CREATE OR ALTER PROCEDURE list_employees
AS
BEGIN 
    -- 先删除已存在的目标表
    IF OBJECT_ID('dbo.list_employees', 'U') IS NOT NULL 
    BEGIN
        DROP TABLE dbo.list_employees; 
    END

    -- 直接将查询结果写入新表，自动匹配表结构
    SELECT TOP(20) 
        d.id AS id_employee, 
        d.first_name, 
        d.last_name, 
        cd.contact
    INTO dbo.list_employees
    FROM employees d 
    JOIN contacts cd ON cd.fk_employee = d.id
    ORDER BY d.id;
END;

这种写法完全跳过字符串拼接环节，自然不会有特殊字符转义的麻烦，是SQL批量数据处理的标准做法。

方案二：修复动态SQL的转义（保留原逻辑时用） #

如果一定要保留游标和动态SQL的写法，需要用REPLACE()把字段里的单引号替换成两个单引号（SQL Server中字符串内的单引号用双单引号转义），同时修正你原代码里变量名写错的问题：

CREATE OR ALTER PROCEDURE list_employees
AS
BEGIN 
    DECLARE cursore CURSOR FAST_FORWARD FOR 
        SELECT TOP(20) d.id, d.first_name, d.last_name, cd.contact
        FROM employees d 
        JOIN contacts cd ON cd.fk_employee = d.id
        ORDER BY d.id;

    DECLARE @id_employee VARCHAR(36);
    DECLARE @first_name VARCHAR(50);
    DECLARE @last_name VARCHAR(50);
    DECLARE @contact VARCHAR(255);
    DECLARE @insert_statement VARCHAR(1000);

    IF OBJECT_ID('dbo.list_employees', 'U') IS NOT NULL 
    BEGIN
        DROP TABLE dbo.list_employees; 
    END

    OPEN cursore;
    FETCH NEXT FROM cursore INTO @id_employee, @first_name, @last_name, @contact;

    IF(@@FETCH_STATUS = 0)
    BEGIN
        CREATE TABLE dbo.list_employees(
            id_employee VARCHAR(36), 
            first_name VARCHAR(50), 
            last_name VARCHAR(50), 
            contact VARCHAR(255)
        );
    END

    WHILE @@FETCH_STATUS = 0
    BEGIN 
        -- 对每个字符串字段的单引号进行转义处理
        SET @insert_statement = 'INSERT INTO list_employees SELECT ''' + 
            REPLACE(@id_employee, '''', '''''') + ''', ''' + 
            REPLACE(@first_name, '''', '''''') + ''', ''' + 
            REPLACE(@last_name, '''', '''''') + ''', ''' + 
            REPLACE(@contact, '''', '''''') + '''';
        
        EXEC(@insert_statement);

        FETCH NEXT FROM cursore INTO @id_employee, @first_name, @last_name, @contact;
    END 

    CLOSE cursore;
    DEALLOCATE cursore;
END;

REPLACE(字段, '''', '''''')会把单个单引号替换成两个，拼接后的SQL就能正确识别包含单引号的内容，不会触发语法错误。

内容的提问来源于stack exchange，提问作者marko