存储过程中是否存在此 SQL 注入漏洞？

问：

我正在使用一个名为 GetPublicMethodData 的存储过程，该过程根据用户输入执行动态 SQL 查询。我的经理指出了代码中潜在的 SQL 注入漏洞，我正在寻求有关如何有效解决此问题的指导。

下面是用于调用存储过程的代码Exec GetPublicMethodData 'GetFilterData', N'{"Make_Id": 1}'

下面是存储过程的代码：Here's the code for the stored procedure：

Create PROCEDURE GetPublicMethodData
    @MethodKeyword NVARCHAR(MAX),
    @ParamKeyword_JSON NVARCHAR(MAX)
AS
BEGIN
    DECLARE @Result NVARCHAR(MAX);
    DECLARE @Query NVARCHAR(MAX);
    DECLARE @MethodName NVARCHAR(MAX);
    DECLARE @MethodId BIGINT = 0;

    SELECT @MethodId = MethodId, @MethodName = MethodName FROM SYS_PublicMethod WHERE MethodKeyword = @MethodKeyword;
    
    SELECT @Result = COALESCE(@Result + ', ', '') + P.Parameter + ' = ' +
        CASE
            WHEN ISJSON([value]) = 1 THEN [value]
            ELSE '''' + [value] + ''''
        END
    FROM OPENJSON(@ParamKeyword_JSON) J
    INNER JOIN SYS_PublicParam P ON P.ParamKeyword COLLATE SQL_Latin1_General_CP1_CI_AS = J.[key] COLLATE SQL_Latin1_General_CP1_CI_AS
    WHERE MethodId = @MethodId

    SET @Query = 'EXEC ' + QUOTENAME(@MethodName) + ' ' + ISNULL(@Result, '');

    EXEC sp_executesql @Query;
END;

根据我的理解，代码似乎很好，因为@Query值将类似于 EXEC [GetFilterData] @Make_Id = '1'

P.S. 我已经在 csharp JSONString.Replace（“'”，“''”） 中用 1 个单引号替换了 2 个单引号

有关解决此存储过程中的 SQL 注入漏洞的指导和建议将非常有价值。感谢您在解决此安全问题方面的专业知识和帮助。

更新： 要求是构建一个架构，在该架构中，我们不需要为存储过程创建 API。因此，只有 1 个 API 会以安全的方式调用所有存储过程。

以下是从 POSTman 到注入的参数

{
    "JSONSTRING": "{\"MakeId\":\"2' Delete From TestPayment\"}"
}

@Query值将是

EXEC [GetFilterData] @Make_Id = '2'' 删除自 TestPayment'