SQL Encode String-Parameter so Sonderzeichen arbeiten

Question

Ich möchte in der Lage sein, ein neues SQL-LOGIN hinzuzufügen und es nach einer Person E-Mail-Adresse nennen. Zum Beispiel "billg@example.com". Wenn ich dies an die folgende gespeicherte Prozedur übergebe, erhalte ich einen Fehler (Fehler folgt Prozedur).

Die gespeicherte Prozedur:

CREATE PROCEDURE [Forms].[AddLogin] 
    @Email nvarchar(2048), 
    @TenantPassword nvarchar(2048) 
AS 
BEGIN 
    -- SET NOCOUNT ON added to prevent extra result sets from 
    -- interfering with SELECT statements. 
    SET NOCOUNT ON; 

    EXEC('CREATE LOGIN ' + @Email + ' WITH PASSWORD = ''' + @TenantPassword + ''', DEFAULT_DATABASE = DunderMifflin') 
END 

Der Fehler:

Msg 102, Level 15, State 1, Line 1 
Incorrect syntax near '.'. 

Ich bin sicher, dass alles, was ich tun müssen, um irgendwie die Parameter codieren. Irgendeine Hilfe? Wenn ich einen Benutzer über den SQL-Manager-Assistenten hinzufüge, kann ich E-Mail-Adressen angeben, sodass ich weiß, dass es sich um einen gültigen Anmeldenamen handelt.

Answer 1

Sie sollten sie in der Lage sein, zu umgeben, mit eckigen Klammern, as detailed here:

EXEC('CREATE LOGIN [' + @Email + '] WITH PASSWORD = ''' + @TenantPassword + ''', DEFAULT_DATABASE = DunderMifflin') 

Answer 2

Obligatorische Injektion Warnung: Was immer Sie tun, bitte das Kennwort des Benutzers direkt in diese Routine nicht passieren !! Was passiert, wenn der Benutzer eingegeben ein Passwort

bill');DROP DATABASE DunderMifflin;-- 

und dann ausgeführt werden Sie im Grunde die Aussage:

CREATE LOGIN billg@microsoft.com WITH PASSWORD = 'bill'); 
DROP DATABASE DunderMifflin; 
-- ''', DEFAULT_DATABASE = DunderMifflin') 

und das ist nicht gut.