sp_executesql 本身不防注入，仅当严格遵循参数化规则时才有效：显式声明带精度的参数类型、@sql中仅含纯占位符、传参必须显式命名、结构信息（表名/列名/排序）须经quotename或白名单校验。
sp_executesql 本身不能防注入，只有严格按规则用才能防——漏掉一个参数声明、多拼一个单引号、或者把表名塞进参数占位符里，就等于没防。
sp_executesql 的参数声明必须显式写出类型和长度
很多人以为只要用了 sp_executesql 就安全了，结果在 @params 字符串里只写 N'@p1, @p2'，或者漏写长度（比如写 @name NVARCHAR 而不是 @name NVARCHAR(50)）。SQL Server 会按默认长度推断，可能截断、隐式转换，甚至让执行计划缓存失效。
- @params 必须是完整声明：例如
N'@status TINYINT, @since DATETIME2(3), @name NVARCHAR(50)' - 不能省略精度：
DATETIME2不写括号精度，SQL Server 默认为 7，但调用时传DATETIME2(3)值可能触发隐式转换 - 字符串类型必须带长度，
NVARCHAR(MAX)可以，但NVARCHAR不行——语法错误 - 输入变量本身也应强类型：存储过程参数定义用
@name NVARCHAR(50)，别用@name SQL_VARIANT
拼进 @sql 字符串的只能是占位符，不能有任何值或类型转换
常见错误是把运行时逻辑塞进 SQL 模板里，比如写 'WHERE name = CAST(@input AS VARCHAR(50))' 或 'WHERE id IN (' + @ids + ')'。一旦出现，参数化立刻失效，因为值已经提前混进了语句结构。
- @sql 字符串里只允许出现
@p1、@p2这类纯占位符 - 禁止任何字符串拼接、
CONVERT、CAST、REPLACE等函数参与构造 @sql - 排序字段、方向、表名、列名这些“结构”不能进占位符——它们不属于数据，必须走白名单或
QUOTENAME() - 如果真要动态列，先映射：
CASE @sort_col WHEN 'user_name' THEN 'user_name' END，再拼进 SQL
调用 sp_executesql 时传参必须用 @param = @variable 形式
写成 EXEC sp_executesql @sql, @params, @input_status, @input_name 是错的——顺序依赖且无类型绑定，SQL Server 会按位置匹配，极易错位。更糟的是，这种写法会让优化器无法复用执行计划。
- 必须显式命名传参：
@status = @input_status, @name = @input_name - 所有参数都得列全，哪怕某个值为 NULL，也要写
@since = @input_since - 不要试图用字符串拼出参数列表，例如
N'@p1 nvarchar(50) = ''' + @user_input + ''' '——这又回到拼接老路 - 如果参数数量不确定（如 IN 列表），改用临时表或字符串拆分 + JOIN，别硬拼
表名、列名、排序方向这些元数据必须隔离校验
参数化对它们完全无效。sp_executesql 的占位符只处理“值”，不处理“语法结构”。你传 @table = 'users; DROP TABLE logs--' 进去，它照样当合法标识符处理——只要没被 QUOTENAME 或白名单拦住，就直接执行。
- 表名校验优先查系统视图：
IF NOT EXISTS (SELECT 1 FROM sys.tables t JOIN sys.schemas s ON t.schema_id = s.schema_id WHERE s.name = 'dbo' AND t.name = @table_name) - 别单靠
OBJECT_ID(@table_name)，它对恶意输入如'logs; DROP TABLE x--'可能截断后误判 - 排序方向必须映射：
CASE @dir WHEN 'asc' THEN 'ASC' WHEN 'desc' THEN 'DESC' ELSE 'ASC' END - QUOTENAME() 要拆开用：
QUOTENAME(@schema) + '.' + QUOTENAME(@table)，不能QUOTENAME(@schema + '.' + @table)
最易被忽略的一点：动态 SQL 的安全性，从第一行 DECLARE @sql NVARCHAR(MAX) 就已开始决定。不是“用了 sp_executesql 就安全”，而是“每一步是否守住模板与数据的边界”。一旦你在 @sql 里拼了任何用户可控的值，无论加多少层转义，都已经输了。
