SQL Server中sp_executesql安全拼接含单引号字符串的正确方法是使用参数化：声明参数类型、传入未加引号的变量值（如@name = 'O''Connor'），SQL语句中仅用占位符@name，由系统自动转义。
SQL Server 中 sp_executesql 怎么安全拼接含单引号的字符串
直接用 + 拼接用户输入进动态 SQL，单引号会断语法，报错 Incorrect syntax near 'xxx'。根本解法不是“多加几个单引号”，而是让参数真正走参数化——sp_executesql 支持参数占位符，但必须把参数名、类型、值三者对齐。
- 变量值传入时不要手动加引号：
@name = 'O''Connor'是合法字符串值，传给sp_executesql时直接作为@name参数，内部自动处理转义 - SQL 字符串里只写参数占位符：
N'SELECT * FROM users WHERE last_name = @name'，不能写成'... = ''' + @name + '''' - 类型声明必须精确匹配：如果
@name是varchar(50)，调用时N'@name varchar(50)'缺一不可，否则可能隐式转换失败或截断
MySQL 存储过程中 CONCAT 拼接字符串时单引号/反斜杠怎么逃
MySQL 没有等效于 sp_executesql 的原生参数化执行接口，PREPARE + EXECUTE 只接受变量名，不支持运行时绑定值。所以必须手动转义，但别用 REPLACE(str, "'", "''") —— 这是 SQL Server 写法，MySQL 用两个单引号不生效。
- 正确做法是用
REPLACE(str, "'", "\'")配合SET @sql = CONCAT("SELECT * FROM t WHERE name = '", @escaped_name, "'") - 更稳妥的是用
QUOTE()函数：SET @sql = CONCAT("SELECT * FROM t WHERE name = ", QUOTE(@name))，它自动加单引号并转义内部所有危险字符（包括'、"） - 注意
QUOTE()返回带引号的字符串，所以拼接时别额外加引号，否则变成'''abc'''
PostgreSQL 的 format() 和 quote_literal() 到底该选哪个
PostgreSQL 提供两套机制：低阶的 quote_literal() 纯转义字符串，高阶的 format() 支持类型安全插值。多数场景应该优先用 format()，它能自动区分文本、标识符、数字等上下文。
- 拼接字段值用
%L：format('WHERE name = %L', user_input)→ 自动加单引号+转义 - 拼接表名或列名用
%I：format('SELECT * FROM %I', table_name)→ 加双引号防关键字冲突 -
quote_literal()只做一件事：返回安全字符串字面量，适合简单场景，但不会处理标识符；如果误把表名丢进去，结果是'my_table'而非"my_table"，执行就报错
所有数据库都绕不开的隐形坑：NULL 值和空字符串在动态 SQL 中的表现
拼接时没判空，NULL 会让整个 CONCAT 或 + 表达式变 NULL，生成的 SQL 直接是空字符串，执行报错或查不到数据；而空字符串 '' 在某些场景下又会被当成有效条件（比如 WHERE name = ''）。
- SQL Server：用
ISNULL(@name, '')或COALESCE(@name, '')替换 NULL，再进sp_executesql - MySQL：用
IFNULL(@name, '')，避免CONCAT中任一参数为 NULL 导致整串为 NULL - PostgreSQL：用
COALESCE(@name, '')，且注意format('%L', NULL)返回NULL，不是'NULL'，必须先处理
动态 SQL 的麻烦从来不在怎么拼，而在拼之前有没有把输入的真实语义理清楚——是值？是标识符？是可为空还是必须存在？漏掉任意一个，后面补转义都是白搭。
