在存储过程中使用动态SQL的约束

Question

我读了一篇关于在存储过程中构建动态SQL的文章，这真的很好，该文章说：

当我们需要根据不同的搜索参数检索一组记录时，需要使用动态SQL

因此，我认为我们可以在需要通过不同搜索检索一些记录的每个项目中使用它，而使用Dynamic SQL则没有任何约束。 是真的吗

Answer 1

您应该将动态查询作为无法使用参数的最后手段。 这样，您将保护自己免受SQL注入的侵害。

您始终可以使一些参数成为可选参数，并在WHERE子句中使用这些参数：

...
WHERE (@Param1 IS NULL OR Field1=@Param1) AND ... etc
...

这样，如果将@ Param1设置为NULL，则意味着不要使用它。

另一种选择可能是使用全文搜索，有关此的更多详细信息，您可以在这里找到： http : //technet.microsoft.com/zh-cn/library/ms142571.aspx