必须用sp_executesql代替EXEC实现参数化查询，严格声明参数类型与长度，对表名列名等动态部分采用白名单校验，并对输入参数做强类型声明和范围检查。
存储过程中用
代替
才安全
直接拼接字符串再执行，哪怕在存储过程里，照样被注入。SQL Server 的
会把整个字符串当命令解析，参数没隔离——
这种写法，传入
就完蛋。
必须改用
，它支持真正的参数化查询，SQL 引擎会在编译阶段就区分代码和数据：
的第二个参数是参数定义字符串，必须显式声明类型和长度（比如
，不能只写
）
第三个及之后的参数才是实际值，顺序和定义严格对应
别图省事把变量名和参数名搞混：定义里写
，调用时也得传
，不是传变量值本身
如果动态部分涉及表名或列名（无法参数化），必须走白名单校验，不能靠 REPLACE 或正则过滤
所有用户输入进存储过程前，先做类型强转和范围检查
即使用了
，如果参数本身是弱类型或未校验，攻击者仍可能绕过。比如把
设为
类型，但调用时传入
，SQL Server 会隐式转成
——看似安全，实则掩盖了上游传参不规范的问题。
存储过程参数声明必须用具体、窄的类型：
，而不是
或宽泛的
对数字类参数，加
这类硬约束
对字符串类参数（如用户名），用
控制内容范围
避免在存储过程里做
或
转换用户输入——转换失败会报错，但成功转换后可能已失真
禁止在存储过程中拼接对象名（表名、列名、排序字段）
表名、列名、
字段这些语法成分，SQL Server 不允许用参数占位，硬拼就是高危操作。见过太多人写
，再加一层
就以为万事大吉——但
只防单引号，防不了
这种结尾注入。
真正安全的做法：用白名单映射。例如定义
如果必须支持任意列名，把合法列名预先查出来存在临时表或表值函数里，用
校验
只能用于你完全可控的内部标识符（比如日志表按月分表的后缀），不能用于任何可能来自前端或配置的输入
排序方向（
/
）同样不能拼，应转为
参数，在 CASE 中分支控制
从应用层调用存储过程时，禁用“通用执行”封装
有些 ORM 或自研 DAO 层喜欢抽象出一个
方法，看起来方便，实则埋雷：它往往把所有参数都当字符串塞进
，忽略类型精度，甚至自动把
转成
而不校验业务逻辑是否允许空值。
.NET 中调用时，必须显式指定
和
（如
）
禁止把用户原始 HTTP 参数（如
）不加解析直接传给存储过程——先转
，失败就拒掉
Java 的 JDBC 同理：用
，
比
更可靠
如果存储过程返回结果集结构不稳定（比如根据参数动态 SELECT 不同列），客户端必须按列名取值，而非按索引——否则字段顺序一变就错位
最麻烦的从来不是写存储过程本身，而是确认每一条从 Web 请求进来、穿过中间件、落到数据库的路径上，有没有哪个环节悄悄把参数当字符串连了又连。这种链路一旦拉长，光靠存储过程里的防御根本兜不住。
sp_executesqlEXECEXEC@sql = 'SELECT * FROM users WHERE id = ' + @id@id = '1; DROP TABLE users; --'sp_executesqlDECLARE @sql NVARCHAR(MAX) = N'SELECT * FROM users WHERE status = @status AND created_after = @since';
EXEC sp_executesql @sql, N'@status TINYINT, @since DATETIME', @status = 1, @since = '2024-01-01';sp_executesqlNVARCHAR(50)NVARCHAR@status@status = ...sp_executesql@idINT'1 OR 1=1'1@user_id INT@user_id SQL_VARIANTNVARCHAR(MAX)IF @user_id < 1 OR @user_id > 999999 RETURNLEN(@name) > 0 AND LEN(@name) <= 50 AND @name NOT LIKE '%[^a-zA-Z0-9_]%'CASTCONVERTORDER BYSET @sql = 'SELECT * FROM ' + @table_nameQUOTENAME(@table_name)QUOTENAME]; DROP TABLE x; --CASE @sort_col WHEN 'name' THEN 'user_name' WHEN 'email' THEN 'contact_email' ELSE 'id' ENDEXISTS (SELECT 1 FROM @allowed_cols WHERE col_name = @input)QUOTENAMEASCDESCBITExecuteStoredProcedure(string procName, Dictionary params) SqlParameternullDBNull.ValueSqlDbTypeSizenew SqlParameter("@name", SqlDbType.NVarChar, 50) { Value = userName }Request.Query["id"]int.TryParseCallableStatementsetInt(1, id)setObject(1, id)