基于PowerShell的SQL Server：如何给ExecuteWithResults()注入变量值？

在使用SQL Server Management Objects (SMO) 操作数据库时，直接把变量拼进SQL字符串里不仅容易出错，还会带来SQL注入的安全风险。正确的做法是使用参数化查询来传递变量值，下面我会基于你给出的示例代码，演示具体实现方式：

单变量参数化示例 #

假设我们要查询Person.Address表中指定城市的记录，这里以City = 'Seattle'为例：

# 初始化SMO服务器与数据库连接
$srv = New-Object Microsoft.SqlServer.Management.Smo.Server("(local)")
$db = $srv.Databases.Item("AdventureWorks2012")

# 定义要传递的变量值
$targetCity = "Seattle"

# 创建SQL参数对象：指定参数名、数据类型（需匹配数据库列类型）、长度
$cityParam = New-Object System.Data.SqlClient.SqlParameter("@TargetCity", [System.Data.SqlDbType]::NVarChar, 30)
$cityParam.Value = $targetCity

# 构造带参数占位符的SQL语句（用@参数名替代直接拼变量）
$sql = "SELECT * FROM Person.Address WHERE City = @TargetCity"

# 执行带参数的查询，将参数作为第二个参数传入
$ds = $db.ExecuteWithResults($sql, $cityParam)

# 遍历结果输出（沿用你原有的遍历逻辑，优化了输出格式）
foreach ($t in $ds.Tables) {
    foreach ($r in $t.Rows) {
        foreach ($c in $t.Columns) {
            Write-Host "$($c.ColumnName) = $($r[$c.ColumnName])"
        }
        Write-Host "------------------------"
    }
}

多变量参数化示例 #

如果需要传递多个变量（比如同时过滤城市和州ID），只需要创建多个参数并传入数组即可：

# 定义多个变量
$targetCity = "Seattle"
$targetStateId = 7

# 创建多个参数
$cityParam = New-Object System.Data.SqlClient.SqlParameter("@TargetCity", [System.Data.SqlDbType]::NVarChar, 30)
$cityParam.Value = $targetCity

$stateParam = New-Object System.Data.SqlClient.SqlParameter("@TargetStateId", [System.Data.SqlDbType]::Int)
$stateParam.Value = $targetStateId

# 带多个占位符的SQL
$sql = "SELECT * FROM Person.Address WHERE City = @TargetCity AND StateProvinceID = @TargetStateId"

# 传入参数数组
$ds = $db.ExecuteWithResults($sql, @($cityParam, $stateParam))

关键注意事项 #

• 绝对避免字符串拼接：比如不要写"SELECT * FROM Person.Address WHERE City = '$targetCity'"，如果$targetCity是恶意值（比如"Seattle'; DROP TABLE Person.Address;--"），会直接执行破坏数据库的操作。
• 参数类型匹配：创建SqlParameter时，指定的类型和长度最好和数据库表列的定义一致，这样能避免类型转换错误。
• 参数名占位符：SQL语句中必须用@参数名的格式，和你创建的SqlParameter对象的ParameterName属性对应（默认就是你传入的第一个参数值）。

内容的提问来源于stack exchange，提问作者Jeremy