QUOTENAME不能直接用于字符串拼接，因为它专为标识符安全转义设计：遇]自动转为]]，空值或非法输入返回NULL，易致动态SQL报错；应先校验变量非空且合法。
QUOTENAME 为什么不能直接套字符串拼接？
QUOTENAME 的作用不是“加引号”，而是按 SQL Server 规则对标识符做安全转义：它会把 [ 和 ] 当作默认分隔符，遇到内部已含 ] 时自动变成 ]]；如果传入空值或非字符串，返回 NULL —— 这意味着你如果直接 QUOTENAME(@table_name) + '.' + QUOTENAME(@column_name)，而 @table_name 是空或含非法字符（比如带空格、短横线、数字开头），结果可能为 NULL 或语法错误，动态 SQL 一执行就报 Invalid object name 或 Incorrect syntax near '.'。
实操建议：
- 始终先检查输入变量是否非空且长度合理（比如
LEN(@table_name) > 0 AND LEN(@table_name) ） - 不要对非标识符内容（如值、条件表达式）用 QUOTENAME —— 它只处理对象名，值该用参数化就用
sp_executesql参数 - 若需自定义分隔符（比如用双引号兼容 ANSI SQL），传第二个参数：
QUOTENAME(@name, '"')，但注意 SQL Server 默认不启用QUOTED_IDENTIFIER OFF，强行用双引号可能触发解析异常
QUOTENAME 在三段式名称中怎么组合才不出错？
数据库名、架构名、对象名三者都得独立 QUOTENAME，且顺序和点号位置必须严格对应。常见错误是把整个 db.schema.table 当一个字符串传进去，结果变成 [db.schema.table] —— 这会被当做一个名字，而不是跨库引用。
正确写法是分开处理：
DECLARE @db SYSNAME = 'MyDB'; DECLARE @schema SYSNAME = 'dbo'; DECLARE @table SYSNAME = 'Order Details'; <p>DECLARE @sql NVARCHAR(MAX) = N'SELECT * FROM ' + QUOTENAME(@db) + '.' + QUOTENAME(@schema) + '.' + QUOTENAME(@table);</p><p>-- 执行前先 PRINT @sql 看一眼生成结果 PRINT @sql; EXEC sp_executesql @sql;
注意点：
- 每个变量都必须是
SYSNAME类型（等价于nvarchar(128)），避免隐式截断 - 如果某段可选（比如不指定数据库），别拼
QUOTENAME(NULL)—— 改用条件逻辑：ISNULL(QUOTENAME(@db) + '.', '') - 架构名为空时不能省略，SQL Server 默认是
dbo，但 QUOTENAME('') 返回''（空字符串），拼出来就是.[table]，语法错误
QUOTENAME 遇到特殊字符（如中文、连字符、点号）会怎样？
QUOTENAME 能安全处理几乎所有合法标识符字符，包括中文、emoji、短横线（-）、点号（.）、甚至控制字符（只要没被 SQL Server 标识符规则禁止）。但它不校验是否真实存在 —— 比如 QUOTENAME('sys.tables') 会输出 [sys.tables]，看起来像跨架构引用，实际只是个带点的普通名字，执行时仍去当前库的 dbo 下找叫 sys.tables 的表。
所以关键在语义层面：
- 若想引用系统视图，应显式写出三段式：
QUOTENAME('master') + '.sys.' + QUOTENAME('tables') - 含连字符的表名（如
user-log）必须 QUOTENAME，否则解析成减法运算：SELECT * FROM user-log→ 报错Invalid column name 'user' - 中文名（如
订单明细）经 QUOTENAME 后为[订单明细]，能执行，但强烈不建议 —— 多数工具链不友好，迁移或复制时易乱码
为什么 QUOTENAME 不能替代参数化，还容易让人误以为“已防注入”？
QUOTENAME 只保护对象名，不保护值。很多人写了 'WHERE id = ' + @id，再在外面套一层 QUOTENAME(@id)，结果是 WHERE id = [123] —— 方括号对数值毫无意义，反而让 SQL 解析器试图找叫 123 的列，报错 Invalid column name '123'。
真正要防注入的地方：
- 值类内容（WHERE 条件、INSERT 值、ORDER BY 列名）必须走
sp_executesql参数，例如：N'SELECT * FROM ' + QUOTENAME(@table) + ' WHERE id = @id'，再传@id参数 - 排序字段名若来自用户输入，可用 QUOTENAME，但必须限定白名单（如只允许
'created_at','status'），否则QUOTENAME('id; DROP TABLE users--')仍会生成合法标识符[id; DROP TABLE users--]，虽不执行注入，但后续拼接可能被利用 - QUOTENAME 对 Unicode BOM、零宽空格等隐形字符无过滤能力，前端传入前最好做 Trim 和基础校验
最常被忽略的是：QUOTENAME 不处理嵌套层级（比如 @dynamic_column 是计算列表达式），这种场景必须靠白名单或 AST 解析，QUOTENAME 无能为力。
