唯一可靠方式是使用 PREPARE + 占位符：SQL 模板用 ? 占位，变量通过 USING 绑定，由数据库自动安全转义；表名等结构部分须白名单校验，不可拼接。
直接拼接 CONCAT() 会出错，因为单引号破坏 SQL 结构
在存储过程中用 CONCAT() 拼字符串时，如果变量值含单引号（比如 'O'Reilly'），直接拼进 SQL 字符串会导致语法错误。例如：SET @sql = CONCAT('INSERT INTO t VALUES (', @name, ')');，当 @name 是 'O'Reilly'，拼出来就是 INSERT INTO t VALUES (O'Reilly) —— 缺少闭合引号，MySQL 直接报 You have an error in your SQL syntax。
用双单引号转义只适用于静态字符串，不适用于变量值
有人习惯写 CONCAT("...", '''', @name, '''', "...")，指望靠两个单引号 '' 来“转义”——这完全无效。因为 @name 是变量，它的值（比如 O'Reilly）会被原样插入，CONCAT() 不做任何字符处理。最终拼出的仍是 O'Reilly，不是 O''Reilly。手动替换（如 REPLACE(@name, "'", "''")）看似可行，但极易遗漏边界：空值、NULL、嵌套引号（I'd say "it's messy"）、反斜杠等都会让逻辑崩坏。
唯一可靠方式：用 PREPARE + 占位符，彻底分离 SQL 和数据
把拼接逻辑交给 MySQL 驱动层，而不是自己手拼字符串。核心是：SQL 模板里用 ? 占位，变量通过 USING 绑定，数据库自动处理所有转义。
-
SET @name = 'O''Reilly';—— 这里赋值时写两个单引号，只是为了让 MySQL 正确解析变量内容，不是“转义操作” -
SET @sql = 'INSERT INTO authors (name) VALUES (?)';—— 模板里不含任何变量值，纯结构 PREPARE stmt FROM @sql;-
EXECUTE stmt USING @name;—— 关键：数据在此刻才注入，驱动保证安全 DEALLOCATE PREPARE stmt;
注意：不要在模板里拼 LIKE 的通配符，比如写 WHERE name LIKE '%?%' 是错的；应把完整匹配值（如 CONCAT('%', @keyword, '%')）先算好，再作为参数传入 USING。
动态 SQL 中混用变量和占位符？别这么干
常见误区：用 CONCAT() 拼表名或字段名（这些不能参数化），再用 ? 拼值——看起来“混合安全”。但只要涉及表名/列名/排序字段等，就必须人工校验白名单，否则 CONCAT('SELECT * FROM ', @table_name) 就是裸奔的 SQL 注入入口。值部分坚持用 ?，结构部分宁可硬编码或严格比对枚举值，也别信“加了 REPLACE 就安全”。
真正难的不是怎么写对，而是分清哪些必须参数化、哪些必须白名单、哪些根本不该动态拼——这个边界一旦模糊，再多的双引号也救不了。
