防止事务中的SQL注入

Question

如何保护程序免受SQL注入？

USE TSQL2012
GO

DECLARE @query nvarchar(4000)
DECLARE @TransactionName varchar(20) = 'Transaction1'; 

BEGIN TRANSACTION @TransactionName

SET @query = 'DELETE * FROM dbo.test'

EXECUTE sp_executesql @query

ROLLBACK TRANSACTION @TransactionName

只要我在查询的开头添加“; ROLLBACK”，此代码就可以正常工作。

我有个使用函数的想法：replace（query，'ROLLBACK'，''）