SQL Server动态SQL存储过程防注入：单引号替换是否有效？

嘿，这个问题问得特别实际——很多人刚开始接触动态SQL时，都会觉得把单引号换成两个单引号就能搞定SQL注入，但其实这种方式并不足以完全防止SQL注入，尤其是你的存储过程里还用到了@pTable、@pColumns这类直接作为表名、列名的标识符参数，具体原因和正确的防护思路我给你拆解清楚：

为什么单引号替换防不住所有注入？ #

• 对标识符类参数完全无效
  比如有人给@pTable传入users; DROP TABLE orders;--，这个字符串里根本没有单引号，你替换单引号的操作对它毫无作用。直接拼到动态SQL里后，恶意语句会被直接执行，因为表名、列名这类标识符不能用单引号包裹，手动替换单引号的逻辑覆盖不到这类场景。
• 字符串参数也存在绕过可能
  虽然替换单引号能挡住大部分普通的字符串注入，但在某些特殊场景下依然有漏洞：比如攻击者用CHAR(39)这种ASCII编码的方式表示单引号，或者利用字符集转换的漏洞绕过替换逻辑，这类情况虽然在SQL Server里不算常见，但依然存在风险。

正确的防护方案（分场景处理） #

针对你存储过程里的不同参数类型，应该用不同的安全手段：

• 处理表名、列名、排序字段这类标识符：必须用SQL Server自带的QUOTENAME()函数包裹参数。比如把@pTable改成QUOTENAME(@pTable)，这样就算传入恶意字符串，也会被转义成合法的标识符（比如users; DROP TABLE orders;--会变成[users; DROP TABLE orders;--]，不会执行恶意逻辑）。
• 处理字符串过滤条件的值：不要手动替换单引号，改用参数化查询。通过sp_executesql执行动态SQL时，把过滤值作为参数传入，而不是直接拼进SQL字符串。举个简单例子：

  DECLARE @dynamicSql NVARCHAR(MAX) = N'SELECT ' + QUOTENAME(@pColumns) + N' FROM ' + QUOTENAME(@pTable) + N' WHERE UserName = @FilterValue';
  EXEC sp_executesql @dynamicSql, N'@FilterValue VARCHAR(100)', @FilterValue = @pFilterValue;
  

  这种方式SQL Server会自动处理参数的转义，比手动替换单引号安全得多。
• 复杂多条件过滤的处理：如果你的@pFilterAndEQ这类参数是多个条件的拼接，最好拆分每个条件的字段和值，分别用QUOTENAME()处理字段，参数化处理值，避免直接拼接整个条件字符串带来的风险。

总的来说，手动替换单引号是一种很初级的防护手段，覆盖不了所有注入场景，尤其是涉及动态标识符的情况下，必须结合QUOTENAME()和参数化查询才能真正做到安全防护。

内容的提问来源于stack exchange，提问作者e-qi