Insertion de valeurs dans Dynamic Sql dans une procédure stockée - Où vont les ticks?

Question

Je suis en train de créer instruction SQL dans TSQL qui ressemble à ceci:

INSERT INTO UsersTable (UserName) VALUES (@UserName)

C'est facile jusqu'à ce que vous essayez de le faire de façon dynamique en T -sql et @UserName est un varchar

plus il ressemble à ceci:

SELECT @SQLInsert = 'INSERT INTO UsersTable (UserName) ' + 
        'VALUES (' + @UserName + ')' 

Sauf bien sûr cela ne fonctionne pas. Combien de tics ai-je besoin pour créer des tiques dans une corde ???? Me rend fou!

Answer 1

Je pense que le problème est que vous ne citez pas correctement la chaîne @UserName. La meilleure façon de procéder (et de manière sûre) consiste à utiliser une requête paramétrée à l'aide de sp_executesql. Voici comment cela serait fait en utilisant sp_executesql (non testé). J'espère que ça aide.

DECLARE @SQLInsert NVARCHAR(500) 
DECLARE @paramDef NVARCHAR(500) 

SET @SQLInsert = 'INSERT INTO UsersTable (UserName) VALUES (@InsUserName)' 

SET @paramDef = '@InsUserName NVARCHAR(50)' 

EXECUTE sp_executesql @SQLInsert, @paramDef, 
         @InsUserName = @UserName; 

Answer 2

Les guillemets simples dans les chaînes sont représentés par deux guillemets simples consécutifs.

Voir Constants (Transact-SQL).

Answer 3

Je suis curieux de savoir pourquoi vous placez le '+' entre la première partie et les valeurs. C'est inutile, mais à part ça, ça va avec la réponse de Justin.

Answer 4

Ce que vous essayez de faire est vulnérable à SQL Injections:

http://en.wikipedia.org/wiki/SQL_injection

Il est très dangereux pour envelopper votre valeur entre guillemets. Il est plus sûr d'utiliser sp_executesql avec des paramètres ou de ne pas l'utiliser du tout: http://msdn.microsoft.com/en-us/library/ms188001.aspx