在SQL Server 中撰寫安全的動態SQL - MSDN - Microsoft

... 的攻擊者所操作。 如果有使用動態SQL，請務必將命令參數化，也絕對不要在查詢 字串中直接包含參數值。

msdn.microsoft.com