如何解决SQL Server动态生成视图时的注入问题_应用QUOTENAME函数-SQL-PHP中文网

QUOTENAME 是SQL Server中唯一可靠、开箱即用的标识符转义函数，专用于防御对象名拼接注入；它自动转义右括号为]]并包裹[...]，而REPLACE或手动加引号无法防御分号+注释类攻击。

如何解决sql server动态生成视图时的注入问题_应用quotename函数

直接用字符串拼接生成视图（比如 CREATE VIEW + 用户输入的表名/列名）时，QUOTENAME 是唯一可靠、开箱即用的防御手段；不加它，哪怕只拼一个表名，也等于把 DROP TABLE 的钥匙交给前端输入框。

为什么不能用 REPLACE 或手动加单引号

有人试过对用户输入做 REPLACE(@input, '''', '''''') 再套上单引号，这只能防单引号闭合，但无法阻止 ]; DROP TABLE users; -- 这类分号+批注组合攻击。SQL Server 允许在对象名位置使用方括号包裹任意字符，而 QUOTENAME 正是专为这种场景设计：它会自动转义右括号 ] 为 ]]，并确保整个结果被一对 [...] 安全包裹。

常见错误现象：

输入 users; DROP TABLE logs → 手动拼接后变成 SELECT * FROM [users; DROP TABLE logs]，语句仍会报错但已触发语法解析阶段异常
输入 sys.tables] DROP TABLE test; -- → 不加 QUOTENAME 时拼成 [sys.tables] DROP TABLE test; --]，实际执行的是两条独立语句

QUOTENAME 的参数和边界行为

QUOTENAME 默认用方括号 [ ] 包裹，也可指定其他分隔符，如 QUOTENAME(@name, '''') 返回带单引号的字符串（用于字符串字面量），但注意：它**不负责 SQL 语句层级的上下文隔离**——仅用于对象名或标识符，不能替代参数化查询处理 WHERE 条件中的值。

关键规则：

输入 NULL 或空字符串时，QUOTENAME 返回 NULL，必须提前判空
输入长度超过 128 字符会截断并静默失败，需在调用前用 LEN(@name) 校验
不能用于拼接数据库名+架构名+表名三级路径的中间部分（如 db.[schema].[table]），必须对每一级单独调用 QUOTENAME

动态视图创建中 QUOTENAME 的正确用法

典型错误是只对表名用了 QUOTENAME，却把列名列表写成硬编码拼接。只要列名来自用户可控输入（比如配置表、前端传参），就必须逐个处理。

示例片段：

DECLARE @table_name SYSNAME = 'orders';
DECLARE @col_list NVARCHAR(MAX) = 'order_id, customer_name';
<p>-- ✅ 正确：表名经 QUOTENAME，列名若来自用户输入，也需拆解后逐个 QUOTENAME
DECLARE @sql NVARCHAR(MAX) = N'CREATE VIEW dbo.vw_' + QUOTENAME(@table_name) + 
N' AS SELECT ' + @col_list + N' FROM dbo.' + QUOTENAME(@table_name);</p><p>-- ❌ 危险：@col_list 若含恶意内容（如 '1; DROP TABLE x; --'），直接拼入就崩了
-- ✅ 安全做法（列名来自可信元数据时可省略；若来自用户，则必须拆解）
-- SELECT STRING_AGG(QUOTENAME(column_name), ', ') FROM sys.columns ...</p>