Nie wykonuj zapytań dynamicznych poprzez budowanie ciągów i ich WYKONYWANIE.
Użyj sp_executesql i przekaż parametry jako parametry.
Przekonasz się, że wstrzykiwanie sql już nie istnieje.
EDYTUJ :przepraszam, spieszyłem się i napisałem złą komendę. to nie jest sp_execute, to sp_executesql; pobiera ciąg znaków i zestaw parametrów:całe kodowanie i usuwanie parametrów jest wykonywane przez SQL Server.
EDYTUJ2 :wyjaśnienie instrukcji sp_executesql
