在公共新闻组中，一个经常出现的问题是“怎样才能根据传递给存储过程的参数返回一个排序的输出？”。在一些高水平专家的帮助之下，我整理出了这个问题的几种解决方案。
一、用IF...ELSE执行预先编写好的查询
对于大多数人来说，首先想到的做法也许是：通过IF...ELSE语句，执行几个预先编写好的查询中的一个。例如，假设要从Northwind数据库查询得到一个货主（Shipper）的排序列表，发出调用的代码以存储过程参数的形式指定一个列，存储过程根据这个列排序输出结果。Listing 1显示了这种存储过程的一个可能的实现（GetSortedShippers存储过程）。
【Listing 1: 用IF...ELSE执行多个预先编写好的查询中的一个】
CREATE PROC GetSortedShippers
@OrdSeq AS int
AS
IF @OrdSeq = 1
SELECT * from Shippers ORDER BY ShipperID
ELSE IF @OrdSeq = 2
SELECT * from Shippers ORDER BY CompanyName
ELSE IF @OrdSeq = 3
SELECT * from Shippers ORDER BY Phone
这种方法的优点是代码很简单、很容易理解，SQL Server的查询优化器能够为每一个SELECT查询创建一个查询优化计划，确保代码具有最优的性能。这种方法最主要的缺点是，如果查询的要求发生了改变，你必须修改多个独立的SELECT查询——在这里是三个。
二、用列名字作为参数
另外一个选择是让查询以参数的形式接收一个列名字。Listing 2显示了修改后的GetSortedShippers存储过程。CASE表达式根据接收到的参数，确定SQL Server在ORDER BY子句中使用哪一个列值。注意，ORDER BY子句中的表达式并未在SELECT清单中出现。在ANSI SQL-92标准中，ORDER BY子句中不允许出现没有在SELECT清单中指定的表达式，但ANSI SQL-99标准允许。SQL Server一直允许这种用法。
【Listing 2：用列名字作为参数，第一次尝试】
CREATE PROC GetSortedShippers
@ColName AS sysname
AS
SELECT *
from Shippers
ORDER BY
CASE @ColName
WHEN 'ShipperID' THEN ShipperID
WHEN 'CompanyName' THEN CompanyName
WHEN 'Phone' THEN Phone
ELSE NULL
END
现在，我们来试一下新的存储过程，以参数的形式指定ShipperID列：
EXEC GetSortedShippers 'ShipperID'
此时一切正常。但是，当我们视图把CompanyName列作为参数调用存储过程时，它不再有效：
EXEC GetSortedShippers 'CompanyName'
仔细看一下错误信息：
Server
''' <summary>
''' SQL文執行結果のEXCEL出力
''' </summary>
''' <param name="connString">OLEDB接続文字列</param>
''' <param name="sqlString">SQL文</param>
''' <param name="savePath">出力ファイルパス</param>
......
上上个星期，有人反馈，CSDN有SQL注入露洞，汗颜，几年前为SQL注入露洞，部门专门对所有代码做过一次非常大的检查，竟然那次检查还有遗漏的地方。最近这几个星期，就是一直再对代码做再次复查，看有没有SQL注入露洞。
存在SQL注入露洞，就因为你的SQL语句是自己拼� ......
