QUOTENAME 是SQL Server中唯一可靠、开箱即用的标识符转义函数，专用于防御对象名拼接注入；它自动转义右括号为]]并包裹[...]，而REPLACE或手动加引号无法防御分号+注释类攻击。
直接用字符串拼接生成视图（比如 CREATE VIEW + 用户输入的表名/列名）时，QUOTENAME 是唯一可靠、开箱即用的防御手段；不加它，哪怕只拼一个表名，也等于把 DROP TABLE 的钥匙交给前端输入框。
为什么不能用 REPLACE 或手动加单引号
有人试过对用户输入做 REPLACE(@input, '''', '''''') 再套上单引号，这只能防单引号闭合，但无法阻止 ]; DROP TABLE users; -- 这类分号+批注组合攻击。SQL Server 允许在对象名位置使用方括号包裹任意字符，而 QUOTENAME 正是专为这种场景设计：它会自动转义右括号 ] 为 ]]，并确保整个结果被一对 [...] 安全包裹。
常见错误现象：
- 输入
users; DROP TABLE logs→ 手动拼接后变成SELECT * FROM [users; DROP TABLE logs]，语句仍会报错但已触发语法解析阶段异常 - 输入
sys.tables] DROP TABLE test; --→ 不加QUOTENAME时拼成[sys.tables] DROP TABLE test; --]，实际执行的是两条独立语句
QUOTENAME 的参数和边界行为
QUOTENAME 默认用方括号 [ ] 包裹，也可指定其他分隔符，如 QUOTENAME(@name, '''') 返回带单引号的字符串（用于字符串字面量），但注意：它**不负责 SQL 语句层级的上下文隔离**——仅用于对象名或标识符，不能替代参数化查询处理 WHERE 条件中的值。
关键规则：
- 输入 NULL 或空字符串时，
QUOTENAME返回 NULL，必须提前判空 - 输入长度超过 128 字符会截断并静默失败，需在调用前用
LEN(@name) 校验 - 不能用于拼接数据库名+架构名+表名三级路径的中间部分（如
db.[schema].[table]），必须对每一级单独调用QUOTENAME
动态视图创建中 QUOTENAME 的正确用法
典型错误是只对表名用了 QUOTENAME，却把列名列表写成硬编码拼接。只要列名来自用户可控输入（比如配置表、前端传参），就必须逐个处理。
示例片段：
DECLARE @table_name SYSNAME = 'orders'; DECLARE @col_list NVARCHAR(MAX) = 'order_id, customer_name'; <p>-- ✅ 正确：表名经 QUOTENAME，列名若来自用户输入，也需拆解后逐个 QUOTENAME DECLARE @sql NVARCHAR(MAX) = N'CREATE VIEW dbo.vw_' + QUOTENAME(@table_name) + N' AS SELECT ' + @col_list + N' FROM dbo.' + QUOTENAME(@table_name);</p><p>-- ❌ 危险：@col_list 若含恶意内容（如 '1; DROP TABLE x; --'），直接拼入就崩了 -- ✅ 安全做法（列名来自可信元数据时可省略；若来自用户，则必须拆解） -- SELECT STRING_AGG(QUOTENAME(column_name), ', ') FROM sys.columns ...
配合 EXECUTE AS 和权限最小化才真正闭环
QUOTENAME 只解决“语法注入”，不解决“语义越权”。比如用户能传入 sys.syslogins，QUOTENAME 会安全拼成 [sys].[syslogins]，但视图仍可能查出敏感系统表数据。
必须叠加：
- 视图定义中显式限定数据库和架构，如
FROM mydb.dbo.orders，避免跨库引用 - 执行动态 SQL 的账号使用
EXECUTE AS切换到低权限角色，且该角色**无权访问系统视图或非业务表** - 禁止在动态 SQL 中拼接
WHERE条件值——这类值必须走sp_executesql+ 参数化，QUOTENAME对它无效
最易被忽略的一点：QUOTENAME 不能嵌套使用，也不能用于拼接函数名或关键字（如 ORDER BY 后的字段），那些场景必须靠白名单校验或彻底重构逻辑。
