Sqlserver
 sql >> Database >  >> RDS >> Sqlserver

Come impostare il nome della tabella nella query SQL dinamica?

Per proteggermi dall'iniezione di SQL, normalmente cerco di utilizzare le funzioni ove possibile. In questo caso, potresti fare:

...
SET @TableName = '<[db].><[schema].>tblEmployees'
SET @TableID   = OBJECT_ID(TableName) --won't resolve if malformed/injected.
...
SET @SQLQuery = 'SELECT * FROM ' + OBJECT_NAME(@TableID) + ' WHERE EmployeeID = @EmpID'