SQL Server - Stored Procedure Feld als Variable

[siobahn.clarke]

Hi,

SQL-Code:

CREATE PROCEDURE Test (@SEARCHFIELD VARCHAR(100), @SEARCHTEXT VARCHAR(500)) 
AS
DECLARE @SQL NVARCHAR(4000)

SET @SQL = 'SELECT Position, Bezeichnung, Lagernr ' +
           'FROM PosTable ' +
           'WHERE ' + @SEARCHFIELD + ' LIKE ''' + @SEARCHTEXT + ''''

EXEC sp_executesql @SQL, N''
GO

Bei dynamischen SQL-Statements muss man sich immer der Gefahr vom SQL-Injection bewusst sein
und die Parameter entsprechen prüfen!

(@omata: bitte nicht als Kritik sondern als zusätzlicher Hinweis verstehen!)