删除非字母数字字符可以防止 SQL 注入吗

问：

想象一个简单的查询：

Declare @sql varchar(100)
Declare @table varchar(20)
Set @table = 'foo'
select @sql = 'select * from ' + @table 
exec(@sql)

这将正常工作，直到有人将@table更改为类似“sys.tables;下拉表栏'

但是我想知道，如果@table从中删除了所有非字母数字字符，是否还会发生SQL注入？在此示例中，恶意@table将 = 'systablesdroptablebar'。

现在我知道使用sp_executesql和参数化 SQL 是最佳实践。所以不要给我任何垃圾！我很好奇，删除所有非字母数字字符的字符串如何被破坏以提供 SQL 注入有效负载。

为清楚起见，此代码块将在 Microsoft SQL Server 2008 或更高版本中执行。