什么是字符串拼接？
字符串拼接是指将两个或多个字符串连接在一起形成一个新的字符串的操作。在SQL Server数据库中，字符串拼接可以用于将多个字段或常量组合成一个更大的字符串。这在某些场景下很有用，例如生成动态查询语句或将多个值组合成一个字段。
需要注意的是，字符串拼接操作存在一定的性能影响，因此需要根据具体情况选择最佳的字符串拼接方法。
SQL Server中的字符串拼接方法
1. CONCAT函数
CONCAT函数用于将两个或多个字符串连接在一起，它可以接受多个参数，并将它们依次连接起来。该函数在SQL Server 2012及以上版本中可用。
SELECT CONCAT('Hello', ' ', 'World')
-- 结果为：Hello World
需要注意的是，如果任何一个参数为NULL，则结果为NULL。
2. +运算符
在SQL Server中，加号(+)运算符不仅可用于数值类型，还可以用于字符串类型。使用加号运算符进行字符串拼接时，必须将所有操作数都转换为字符串类型。
SELECT 'Hello' + ' ' + 'World'
-- 结果为：Hello World
需要注意的是，如果任何一个操作数为NULL，则结果为NULL。另外，使用加号运算符进行字符串拼接时，可能会造成SQL注入攻击，因此不推荐使用。
3. FOR XML PATH
FOR XML PATH是一种比较流行的字符串拼接方法，它使用XML PATH模式，将多个行合并成一个XML元素。具体来说，它会将每行的值转换为一个XML元素，并使用指定的分隔符进行连接。
SELECT STUFF((SELECT ', ' + Name FROM Products FOR XML PATH('')), 1, 2, '')
-- 结果为：Bike, Car, Computer, Phone
上面的查询将Products表中的Name字段按逗号分隔连接成一个字符串。首先使用FOR XML PATH将每个Name字段转换为一个XML元素(默认的元素名为每行的别名)，然后使用STUFF函数删除第一个逗号和空格。
需要注意的是，如果被连接的字符串包含XML非法字符(如大于号、小于号)，FOR XML PATH可能会导致错误。此外，由于使用了XML格式化，FOR XML PATH对大量数据的处理会相对缓慢。
4. STRING_AGG函数
STRING_AGG函数是SQL Server 2017及以上版本中引入的函数，它可以将多个字符串连接在一起并用指定的分隔符分隔。该函数具有良好的性能和可读性。
SELECT STRING_AGG(Name, ', ') WITHIN GROUP (ORDER BY Name) AS Names
FROM Products
-- 结果为：Bike, Car, Computer, Phone
上面的查询使用STRING_AGG函数将Products表中的Name字段用逗号分隔连接成一个字符串，并按照Name字段进行排序。
需要注意的是，如果使用STRING_AGG函数时分隔符为NULL，则结果为NULL。
总结
字符串拼接在SQL Server数据库中是一项非常有用的操作。针对不同的场景，可以选择不同的字符串拼接方法。需要根据实际情况选择最佳的方法以提高性能。
关于SQL注入攻击，需要注意防范。一般来说，应使用参数化查询来代替拼接查询字符串的方式，从而避免安全风险。