插入HTML内容至NVARCHAR字段时提示'?'附近语法错误如何解决

你当前遇到的偶发语法错误核心原因是直接拼接字符串构造动态SQL的实现方式存在缺陷：
即使你做了单引号转义处理，用户输入中携带的Unicode特殊字符、Word导出内容自带的不可见控制字符，仍然可能破坏动态SQL的字符串边界，让SQL解析器误判字符串结束位置，后续内容被识别为非法SQL语法，就会返回Incorrect syntax near '?'的报错。你删除某个特殊字符后恢复正常，就是因为该字符刚好是触发解析异常的控制字符。

改用参数化动态SQL实现，完全避免字符串拼接带来的转义、特殊字符兼容问题，同时还能杜绝SQL注入风险，修改后的存储过程如下：

ALTER STORED PROCEDURE dbo.SaveHtml @htmlValue NVARCHAR(MAX)
AS
DECLARE @SQL_QUERY NVARCHAR(MAX);

-- 动态SQL内直接用参数占位，不需要拼接实际值
SET @SQL_QUERY  = N'UPDATE TEMP_TABLE SET BLOCK_1 = @ParamHtml WHERE ID = 12';

-- 通过sp_executesql传递参数，自动处理所有字符转义和边界识别
EXECUTE sp_executesql 
    @SQL_QUERY,
    N'@ParamHtml NVARCHAR(MAX)', -- 声明参数类型
    @ParamHtml = ISNULL(@htmlValue, N'') -- 传入参数值，可按业务需求调整NULL的默认值

如果你因为业务需要必须保留字符串拼接逻辑（比如存在动态表名、动态字段名这类无法参数化的场景），需要额外补充两个处理逻辑：

• 完善转义规则：除了单引号转成双单引号，确保传入的内容首尾已正确包裹单引号，避免特殊字符截断字符串。
• 清洗控制字符：提前过滤用户输入中Unicode编码为0-31、127的不可见控制字符，这类字符是Word复制内容中最容易触发SQL解析错误的诱因。

也可以在前端补充粘贴内容清洗逻辑，用户粘贴Word内容时自动清理冗余格式和不可见字符，降低异常内容传到后端的概率。

内容的提问来源于stack exchange，提问作者José Chaudary