exec和sp_executesql

最新推荐文章于 2024-03-14 09:53:45 发布

weixin_33754913

最新推荐文章于 2024-03-14 09:53:45 发布

阅读量69

点赞数

CC 4.0 BY-SA版权

文章标签：数据库 c#

原文链接：http://www.cnblogs.com/xiashengwang/p/4172362.html

本文对比了SQL Server中的exec和sp_executesql的功能，详细介绍了sp_executesql的使用方法及其如何防止SQL注入攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

sqlserver中的exec和sp_executesql都能执行动态的sql语句和存储过程，但exec用法较为简单，不能带参数，也没有返回参数。

sp_executesql则显得功能更加完善，可以用输入参数和输出参数，下面这个例子记录了sp_executesql的用法。

declare @sql nvarchar(1000),
@oazaName varchar(20),
@cnt int
set @oazaName = 'abc'

set @sql = 'select @count=count(*) from dbo.Aza where oazaName like ''%'' +  @oazaName + ''%'''
print @sql
-- 注意like查询时用变量该如何拼接 '%' + 
-- 输出SQL语句：select @count=count(*) from dbo.Aza where oazaName like '%' +  @oazaName + '%'
exec sp_executesql 
--这里定义sql文
@stmt=@sql, 
--这里书写@sql中用到的变量，多个变量时，将全部定义放到@params变量里
@params =N'@oazaName as varchar(20),@count as int output',
--下面的赋值语句个数由@params定义的变量个数决定，
--注意输出变量的定义和赋值语句处都要加output关键字
@oazaName ='飯',
@count =@cnt output
-- 查看输出变量的值，感觉@cnt是传的地址（类似与C#的ref关键字）
select @cnt

对于带参数的查询，可以防止sql注入等攻击，因此有必要好好掌握sp_executesql的用法。

转载于:https://www.cnblogs.com/xiashengwang/p/4172362.html