DECLARE @insert NVARCHAR(MAX)
 SELECT @insert = 'INSERT INTO [dbo].[' + @table + '] VALUES...
 EXEC (@insert)

此INSERT还将包含列值：

DECLARE @insert NVARCHAR(MAX)
 SELECT @insert = 
  'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')'
 EXEC (@insert)

现在,我显然关注注入攻击,并希望确保@ message的值不会使@ insert的值恶意或格式错误作为对EXEC的查询.

这给我们带来了一个问题：逃避@message中的’字符是否足够？是否有任何其他可能出现在@message中的角色可以逃脱？

例：

DECLARE @insert NVARCHAR(MAX)
 SELECT @message = REPLACE(@message,'''','''''')
 SELECT @insert = 
  'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')'
 EXEC (@insert)

(当我说“必须”时,这是因为我的查询是在一个存储过程中,并且这个存储过程接受@table,这是INSERT的目标表.我对讨论我的架构或为什么表不感兴趣通过过程参数“动态”指定INSERT到.请不要对此进行评论,除非EXEC()查询之外还有另一种方法来指定要插入的表,然后将表名作为过程参数接收.)