SQL服务器| 我的存储过程可以吗？

Question

CREATE PROCEDURE spCountTableRowWHere
    @TblName VARCHAR(50),
    @TblID VARCHAR(10) = 'Id',
    @WhereClause NVARCHAR(500) = '1=1'
AS
BEGIN
    DECLARE @Query NVARCHAR(500)
    DECLARE @ParamDefinition NVARCHAR(40)
    DECLARE @Count INT
    SET @Query = 'SELECT @C = COUNT('+@TblID+') FROM '+@TblName+' WHERE '+@WhereClause
    SET @ParamDefinition = '@C INT OUTPUT'

    EXECUTE SP_EXECUTESQL @Query, @ParamDefinition, @C = @Count OUTPUT
    SELECT @Count
END

我想知道这样的过程是否比针对不同表的单独过程更好。

Answer 1

最简洁的答案是不。
长答案是，这是对SQL注入攻击的一种开放。
想想如果有人将以下字符串放在where子句参数中会发生什么： 1=1; drop table myTable 1=1; drop table myTable 。