QUOTENAME 是SQL Server中唯一可靠、开箱即用的标识符转义函数，专用于防御对象名拼接注入；它自动转义右括号为]]并包裹[...]，而REPLACE或手动加引号无法防御分号+注释类攻击。
直接用字符串拼接生成视图（比如
+ 用户输入的表名/列名）时，
是唯一可靠、开箱即用的防御手段；不加它，哪怕只拼一个表名，也等于把
的钥匙交给前端输入框。
为什么不能用 REPLACE 或手动加单引号
有人试过对用户输入做
再套上单引号，这只能防单引号闭合，但无法阻止
这类分号+批注组合攻击。SQL Server 允许在对象名位置使用方括号包裹任意字符，而
正是专为这种场景设计：它会自动转义右括号
为
，并确保整个结果被一对
安全包裹。
常见错误现象：
输入
→ 手动拼接后变成
，语句仍会报错但已触发语法解析阶段异常
输入
→ 不加
时拼成
，实际执行的是两条独立语句
QUOTENAME 的参数和边界行为
默认用方括号
包裹，也可指定其他分隔符，如
返回带单引号的字符串（用于字符串字面量），但注意：它**不负责 SQL 语句层级的上下文隔离**——仅用于对象名或标识符，不能替代参数化查询处理 WHERE 条件中的值。
关键规则：
输入 NULL 或空字符串时，
返回 NULL，必须提前判空
输入长度超过 128 字符会截断并静默失败，需在调用前用
校验
不能用于拼接数据库名+架构名+表名三级路径的中间部分（如
），必须对每一级单独调用
动态视图创建中 QUOTENAME 的正确用法
典型错误是只对表名用了
，却把列名列表写成硬编码拼接。只要列名来自用户可控输入（比如配置表、前端传参），就必须逐个处理。
示例片段：
配合 EXECUTE AS 和权限最小化才真正闭环
只解决“语法注入”，不解决“语义越权”。比如用户能传入
，
会安全拼成
，但视图仍可能查出敏感系统表数据。
必须叠加：
视图定义中显式限定数据库和架构，如
，避免跨库引用
执行动态 SQL 的账号使用
切换到低权限角色，且该角色**无权访问系统视图或非业务表**
禁止在动态 SQL 中拼接
条件值——这类值必须走
+ 参数化，
对它无效
最易被忽略的一点：
不能嵌套使用，也不能用于拼接函数名或关键字（如
后的字段），那些场景必须靠白名单校验或彻底重构逻辑。
CREATE VIEWQUOTENAMEDROP TABLEREPLACE(@input, '''', '''''')]; DROP TABLE users; --QUOTENAME]]][...]users; DROP TABLE logsSELECT * FROM [users; DROP TABLE logs]sys.tables] DROP TABLE test; --QUOTENAME[sys.tables] DROP TABLE test; --]QUOTENAME[ ]QUOTENAME(@name, '''')QUOTENAMELEN(@name) <= 128db.[schema].[table]QUOTENAMEQUOTENAMEDECLARE @table_name SYSNAME = 'orders';
DECLARE @col_list NVARCHAR(MAX) = 'order_id, customer_name';
-- ✅ 正确：表名经 QUOTENAME，列名若来自用户输入，也需拆解后逐个 QUOTENAME
DECLARE @sql NVARCHAR(MAX) = N'CREATE VIEW dbo.vw_' + QUOTENAME(@table_name) +
N' AS SELECT ' + @col_list + N' FROM dbo.' + QUOTENAME(@table_name);
-- ❌ 危险：@col_list 若含恶意内容（如 '1; DROP TABLE x; --'），直接拼入就崩了
-- ✅ 安全做法（列名来自可信元数据时可省略；若来自用户，则必须拆解）
-- SELECT STRING_AGG(QUOTENAME(column_name), ', ') FROM sys.columns ...
QUOTENAMEsys.sysloginsQUOTENAME[sys].[syslogins]FROM mydb.dbo.ordersEXECUTE ASWHEREsp_executesqlQUOTENAMEQUOTENAMEORDER BY