sp_executeSQL 与 exec

Question

正如我在以下博客中所读到的......

http://www.sommarskog.se/dynamic_sql.html

动态 sql 是不安全的，这就是我们有 sp_execute SQL 的原因。

请问，有什么方法可以让 sp_execute 运行这样的程序...

declare @QueryMain as varchar(8000)
declare @QueryBody as varchar(8000)
declare @QueryWhere as varchar(8000)

set @QueryMain = <8000 charactes>
set @QueryBody = <8000 characters>
set @QueryWhere = <8000 characters>

exec (@queryMain+@QueryBody+@QueryWhere)

这会运行，但正如我在文章中读到的那样，不建议这样做......但我想知道是否有另一种方式来运行这种查询......我试图合并 3 个变量到 ntext 但它没有工作，顺便说一句......上面的示例查询将在查询中有其他变量，可能是日期，用户 ID，任何东西！

我正在使用 sql server 2000 顺便说一句...正如我用谷歌搜索的那样，我没有发现如何为 sql server 2000 操作大字符串的结果，但我有 SQLi 攻击的这种后果。

Answer 1

如果你问是否可以这样做：

EXEC sp_executesql @QueryMain + @QueryBody + @QueryWhere;

不，您不能将表达式或公式作为参数值。但你为什么需要？解决方法很简单，只需将它们附加到一个中间变量中（这应该是NVARCHAR(MAX)，而不是NTEXT，后者已被弃用且对局部变量无效）：

DECLARE @sql NVARCHAR(MAX);

...

SET @sql = @QueryMain + @QueryBody + @QueryWhere;

EXEC sp_executesql @sql;

实际上所有这些变量都应该是NVARCHAR。

见this post for some more on EXEC vs. sp_executesql。