Store Procedure 動態語法預防SQL Injection方式

看了這篇
又查了一下sp_executesql這運用<支援參數值與 Transact-SQL 字串分開設定>
用這麼久的procedure,現才知道這招的好用!! 上面那篇,實在有點看不懂;是我能力太差!?
自己親自玩了一下,哈;簡單啦! 看了這張圖,包會的

----
底下為 sql code:
declare @sql nvarchar(300)
declare @func nvarchar(300)
declare @bar nvarchar(20)

set @func='@bar varchar(20)'
set @bar='ISBN97xxxx'
set @sql='select * from BOOKS where bar=@bar'
execute sp_executesql @sql,@func,@bar