在SQL Server中，`TOP`语句用于从查询结果中选取指定数量的行。然而，在实际开发中，我们经常遇到需要动态改变选取行数的情况，这时传统的字符串拼接SQL的方式虽然可行，但存在效率低下、易受SQL注入攻击以及代码可读性差等问题。为了解决这些问题，我们可以采用参数化的方式来使用`TOP`语句，提高代码的可维护性和安全性。
让我们看看如何使用参数化的方式来实现`TOP`语句。以下是一个示例：
```sql
DECLARE @TopCount INT
SET @TopCount = 100
SELECT TOP (@TopCount) * FROM AdventureWorks.HumanResources.Employee
```
在这个例子中，我们声明了一个变量`@TopCount`并赋值为100，然后在`SELECT`语句中使用`TOP (@TopCount)`，这样就实现了动态选择前100行的效果。这种方式的好处在于，我们不再需要拼接字符串来构建SQL，从而避免了潜在的SQL注入风险，并提高了代码的可读性。
然而，如果查询中还包含其他动态条件，比如`LIKE`操作，我们就需要使用`sp_executesql`存储过程来执行参数化的SQL。下面是一个包含`LIKE`操作的例子：
```sql
DECLARE @TopCount INT
DECLARE @Title NVARCHAR(100)
DECLARE @SelectSql NVARCHAR(MAX)
SET @TopCount = 100
SET @Title = '%n%'
SET @SelectSql = 'SELECT TOP (@TopCountPar) * FROM AdventureWorks.HumanResources.Employee WHERE Title LIKE @TitlePar'
-- 使用sp_executesql来执行参数化的SQL
EXEC sp_executesql @SelectSql, N'@TopCountPar INT, @TitlePar NVARCHAR(100)', @TopCountPar = @TopCount, @TitlePar = @Title
```
在这个例子中，我们定义了两个参数`@TopCountPar`和`@TitlePar`，并使用`sp_executesql`存储过程来执行动态构建的SQL。这种方式不仅允许我们动态调整`TOP`的数量，还能安全地处理包含`LIKE`操作的查询条件。
`sp_executesql`存储过程是SQL Server提供的一种执行参数化SQL语句的方法，它可以有效地防止SQL注入，同时提高查询性能，因为它会缓存已编译的查询计划，对于重复执行的SQL语句，可以避免重复解析和编译的过程。
总结来说，使用参数化`TOP`语句和`sp_executesql`在SQL Server中是提升代码质量、保证安全性和优化性能的重要手段。在处理动态查询时，应当优先考虑这种最佳实践，以确保代码的可维护性和系统的稳定性。
