是否可以参数化此 SQL 透视查询以避免 SQL 注入？

问：

我需要使用它来创建结果集，但部分问题是列（即）是用户输入的结果。我曾考虑过使用一个函数来过滤掉潜在的关键字，或清理用户的输入，但我不相信这是否真正可靠。pivotdbo.TrainingType.Title

查询如下：

declare @cols nvarchar(max)
declare @query nvarchar(max)
select @cols = STUFF((SELECT distinct ',' + QUOTENAME(c.Title) 
            FROM dbo.TrainingType c
            FOR XML PATH(''), TYPE
            ).value('.', 'NVARCHAR(MAX)') 
        ,1,1,'')

set @query = 'SELECT * 
                FROM
                (
                    SELECT u.UserID, tt.Id AS TrainingId, u.DisplayName, tt.Title, te.[ExpireDate]
                    FROM dbo.vw_Users u
                    LEFT JOIN dbo.TrainingEmployee te ON u.UserId = te.UserID
                    LEFT JOIN dbo.TrainingType tt ON te.TrainingID = tt.Id

                ) x
                pivot
                (
                    max(ExpireDate)
                    for Title IN (' + @cols + ')

                ) piv'

execute(@query)

有什么方法可以重写它以完成相同的结果吗？

UserID | TrainingId | DisplayName | List | Of | Titles | As | Columns
---------------------------------------------------------------------
1        1            John Doe      A     B    C        D    DROP TABLE