SQL单引号值拼接扩展问题：使用EXEC sp_executesql实现列更新

没问题，这就给你梳理清楚怎么用EXEC sp_executesql搞定这个需求——既避开单引号拼接的坑，又保证代码的安全性和性能。

假设我们有一张业务表（比如OrderRecords），需要把固定提示文本、当前系统日期和操作人名称拼接起来，更新到指定列（比如UpdateRemark），并且只更新符合条件的记录。下面是具体的实现方案：

基础实现示例 #

DECLARE @OrderID INT = 456; -- 要更新的目标记录ID
DECLARE @Operator NVARCHAR(50) = 'Maria'; -- 操作人名称
DECLARE @DynamicSQL NVARCHAR(MAX);

-- 构建动态SQL语句，使用参数化传递变量
SET @DynamicSQL = N'
UPDATE OrderRecords
SET UpdateRemark = ''订单已更新于 '' + CONVERT(NVARCHAR(20), GETDATE(), 120) + ''，操作人：'' + @OperatorName
WHERE OrderID = @TargetID;
';

-- 执行动态SQL，传入参数
EXEC sp_executesql 
    @DynamicSQL,
    N'@TargetID INT, @OperatorName NVARCHAR(50)', -- 定义参数类型
    @TargetID = @OrderID, -- 给参数赋值
    @OperatorName = @Operator;

关键细节解释 #

• 参数化传递变量：这里没有直接把@Operator拼到SQL字符串里，而是通过sp_executesql的参数传递，彻底避免了单引号转义的问题（比如如果操作人名称是O'Neil，直接拼接会报错，参数化就完全没问题）。
• 单引号转义：固定文本里的单引号需要用两个单引号表示（比如''订单已更新于 ''），这是SQL字符串中表示单引号的标准语法。
• 日期格式化：用CONVERT(NVARCHAR(20), GETDATE(), 120)把当前日期转成YYYY-MM-DD HH:MI:SS的格式，你可以根据需求换其他格式代码。

更灵活的扩展（固定文本也作为参数） #

如果固定提示文本也需要动态设置，同样可以把它作为参数传递：

DECLARE @OrderID INT = 456;
DECLARE @Operator NVARCHAR(50) = 'Maria';
DECLARE @PromptText NVARCHAR(100) = '订单状态已修改'; -- 动态提示文本
DECLARE @DynamicSQL NVARCHAR(MAX);

SET @DynamicSQL = N'
UPDATE OrderRecords
SET UpdateRemark = @Prompt + '' 于 '' + CONVERT(NVARCHAR(20), GETDATE(), 120) + ''，操作人：'' + @OperatorName
WHERE OrderID = @TargetID;
';

EXEC sp_executesql 
    @DynamicSQL,
    N'@TargetID INT, @OperatorName NVARCHAR(50), @Prompt NVARCHAR(100)',
    @TargetID = @OrderID,
    @OperatorName = @Operator,
    @Prompt = @PromptText;

重要提醒 #

• 优先用参数化：永远不要直接拼接用户输入或变量到SQL字符串里，参数化不仅能避免单引号问题，更能有效防止SQL注入攻击。
• 执行计划缓存：sp_executesql会缓存执行计划，相比直接用EXEC()执行拼接的SQL，重复执行时性能更优。
• 特殊字符处理：参数化方式会自动处理变量里的特殊字符（比如单引号、换行符），不需要手动转义。

内容的提问来源于stack exchange，提问作者Peru