SQL Server中的QUOTENAME函数用于将字符串值添加引号，并在字符串中的所有引号周围添加转义字符。它主要用于构建动态SQL语句中的字符串值，以防止SQL注入攻击。
QUOTENAME函数的语法如下： QUOTENAME ( ‘string’ [,‘quote_character’] )
参数说明：
示例：
SELECT QUOTENAME('John') AS QuotedName;
-- 结果为 [John]
SELECT QUOTENAME('John O''Connor') AS QuotedName;
-- 结果为 [John O''Connor]
SELECT QUOTENAME('John', '''') AS QuotedName;
-- 结果为 'John'
在动态SQL语句中，如果字符串值未经过QUOTENAME函数处理，可能会导致错误或不安全的情况。例如，考虑以下示例：
DECLARE @tableName VARCHAR(50);
SET @tableName = 'MyTable; DROP TABLE MyTable; --';
DECLARE @sql NVARCHAR(1000);
SET @sql = 'SELECT * FROM ' + @tableName;
EXEC sp_executesql @sql;
如果@tableName的值未经过QUOTENAME函数处理，那么该动态SQL语句将变为：
SELECT * FROM MyTable; DROP TABLE MyTable; --
这个动态SQL语句将尝试从表"MyTable"中选择数据，并删除表"MyTable"。这是一种SQL注入攻击的示例。为了防止这种攻击，应该使用QUOTENAME函数对@tableName进行处理：
DECLARE @tableName VARCHAR(50);
SET @tableName = 'MyTable; DROP TABLE MyTable; --';
DECLARE @sql NVARCHAR(1000);
SET @sql = 'SELECT * FROM ' + QUOTENAME(@tableName);
EXEC sp_executesql @sql;
这将生成以下动态SQL语句：
SELECT * FROM [MyTable; DROP TABLE MyTable; --]
这样可以确保动态SQL语句只选择表"[MyTable; DROP TABLE MyTable; --]"中的数据，而不会删除任何表。
