資料庫查詢中特殊字元處理完全指南：SQL Server 資料型別對照與參數化防禦實戰

核心問題：字串拼接導致的語法錯誤與注入風險

當使用者輸入包含單引號 (`'`)、雙引號 (`"`)、管線符 (`|`)、連字號 (`&`)、分號 (`;`) 等字元，直接拼接至 SQL 字串會導致：

• 語法錯誤：`SELECT * FROM Users WHERE Name = 'O'Brien'` → 單引號截斷字串。
• 邏輯竄改：`Name = 'admin' --` 註釋後續條件。
• SQL Injection：`'; DROP TABLE Users; --` 執行任意指令。

SQL Server 主要資料型別完整對照表

特殊字元處理：錯誤示範 vs 正確姿勢

❌ 錯誤：字串拼接 (Classic ASP/VBScript 風格)

Function SQLFixup(TextIn)
    SQLFixup = Replace(TextIn, "'", "''")  ' 單引號轉義
End Function
' 使用
SQL = "SELECT * FROM Users WHERE Name = '" & SQLFixup(txtName) & "'"

缺陷： 僅處理單引號，無法防禦 `--`、`;`、`/* */`、Unicode 繞過、二階注入；維護成本高、易遺漏。

✅ 正確：參數化查詢 (唯一根治方案)

-- ADO.NET (C#)
using (var cmd = new SqlCommand("SELECT * FROM Users WHERE Name = @Name", conn))
{
    cmd.Parameters.Add("@Name", SqlDbType.NVarChar, 100).Value = txtName.Text;
    using (var rd = cmd.ExecuteReader()) { ... }
}

-- ADO Classic (ASP/VBScript) - 亦支援參數化
Set cmd = Server.CreateObject("ADODB.Command")
cmd.ActiveConnection = conn
cmd.CommandText = "SELECT * FROM Users WHERE Name = ?"
cmd.Parameters.Append cmd.CreateParameter("@Name", 202, 1, 100, txtName) ' adVarWChar
Set rs = cmd.Execute

⚠️ 動態 SQL 必須參數化

-- 預存程序內動態 SQL
CREATE PROC usp_Search @Name NVARCHAR(100), @SortCol SYSNAME
AS
BEGIN
    DECLARE @sql NVARCHAR(MAX) = N'SELECT * FROM Users WHERE Name = @Name';
    -- 排序欄位白名單驗證，不可參數化
    IF @SortCol NOT IN (N'Name', N'CreateDate', N'Status') SET @SortCol = N'Name';
    SET @sql += N' ORDER BY ' + QUOTENAME(@SortCol);
    EXEC sp_executesql @sql, N'@Name NVARCHAR(100)', @Name = @Name;
END

資料型別轉換與隱性轉換陷阱

-- 隱性轉換導致索引失效
WHERE VarcharCol = 123          -- 字串隱性轉數字，掃描全表
WHERE IntCol = '123'            -- 數字隱性轉字串，可能求值
-- 正確：顯性轉換或參數型別匹配
WHERE VarcharCol = CAST(123 AS VARCHAR(10))
WHERE IntCol = 123

特殊字元在 LIKE/全文檢索中的處理

-- LIKE 萬用字元轉義
WHERE Name LIKE '%[' + @Search + '%' ESCAPE '\'  -- 使用 ESCAPE 字元
-- 或動態建構
DECLARE @pattern NVARCHAR(100) = REPLACE(REPLACE(@Search, '[', '[[]'), '%', '[%]');
WHERE Name LIKE @pattern ESCAPE '\';

總結：防禦清單

• [ ] **所有** 使用者輸入進入 SQL **必須參數化** (含動態 SQL 用 `sp_executesql` + 參數)。
• [ ] 欄位型別與參數型別**嚴格匹配**，避免隱性轉換。
• [ ] 動態識別子 (表名、欄位名) **白名單驗證** + `QUOTENAME()`。
• [ ] 資料庫帳號**最小權限**，Web 應用無 DDL/系統權限。
• [ ] 錯誤訊息**不回傳給前端**，記錄至後端日誌。
• [ ] 定期代碼掃描：搜尋 `EXEC(`, `sp_executesql`, `+ @var +`, `QUOTENAME` 缺失等模式。