如何在PowerShell脚本的SQL语句中传递变量查询MS SQL Server？

你的问题核心在于直接拼接变量到SQL字符串时的解析错误和安全风险：单引号包裹的字符串里PowerShell不会解析变量，导致SQL语句实际使用的是$var1这个文本而非变量值；就算改成双引号拼接，当变量包含单引号（比如O'Neil）时，还会直接破坏SQL语法结构引发报错。下面是标准且安全的解决方案：

问题根源拆解 #

原代码里的$query用单引号定义，PowerShell的单引号字符串是字面量字符串，内部的$var1不会被解析为变量值，所以SQL执行的语句是WHERE col2 = '$var1'，而非你期望的实际字符串。这种硬拼接方式还存在SQL注入的安全隐患。

正确方案：使用参数化查询 #

参数化查询是处理SQL变量传递的行业标准，它能自动处理字符串转义，彻底避免语法错误和注入风险。修改后的完整代码如下：

# 定义要传递的任意字符串参数（支持带单引号的内容，比如'O''Neil'）
$var1 = 'string'

function Get-ODBC-Data{ 
    param( 
        [string]$query = 'SELECT COUNT(*) FROM [master].[sys].[tables] WHERE name = ?;', # 用?作为ODBC参数占位符
        [string]$username='db_user_name', 
        [string]$password='db_password',
        [string]$paramValue # 新增参数，接收外部传入的变量值
    ) 

    $conn = New-Object System.Data.Odbc.OdbcConnection 
    $conn.ConnectionString = "DRIVER={SQL Server};Server=123.456.78.90;Initial Catalog=master;Uid=$username;Pwd=$password;" 
    $conn.Open() 

    $cmd = New-object System.Data.Odbc.OdbcCommand($query,$conn)
    # 将变量值绑定到SQL占位符，ODBC自动处理转义
    $cmd.Parameters.AddWithValue('@param', $paramValue) | Out-Null

    $ds = New-Object system.Data.DataSet 
    (New-Object system.Data.odbc.odbcDataAdapter($cmd)).Fill($ds) | Out-Null 

    $conn.Close() 
    $ds.Tables[0] 
} 

# 调用函数时传入参数值
$result = Get-ODBC-Data -paramValue $var1
Write-Host "SQL_Output: " $result[0];

关键改动说明 #

• SQL占位符替换：把原来的'$var1'替换为?，这是ODBC标准的参数占位符，用来标记需要传入变量的位置。
• 新增参数接收变量：函数新增$paramValue参数，专门用来接收外部传入的变量值，避免直接拼接字符串。
• 绑定参数值：通过$cmd.Parameters.AddWithValue将变量值绑定到SQL语句的占位符，ODBC驱动会自动处理字符串中的特殊字符（比如单引号），确保语法正确且安全。

测试验证 #

如果你的变量是带单引号的字符串，比如：

$var1 = "O'Neil"

使用参数化查询也能正常执行，不会出现语法错误，同时彻底规避了SQL注入风险。

内容的提问来源于stack exchange，提问作者300