SQL Server中结合FORMATMESSAGE与EXECUTE报错，求可行使用技巧

我了解到在SQL Server中，FORMATMESSAGE()是最接近字符串参数化的方法，以下代码可正常运行：

DECLARE @db NVARCHAR(12) = 'test';
SELECT formatmessage(N'USE master; DROP DATABASE IF EXISTS %s;', @db);

我也知道可以使用EXECUTE()执行构造好的字符串，示例如下：

DECLARE @db NVARCHAR(12) = 'test';
EXECUTE(N'USE master; DROP DATABASE IF EXISTS ' + @db);

我尝试将两者结合使用，代码如下：

DECLARE @db NVARCHAR(12) = 'test';
EXECUTE(formatmessage(N'USE master; DROP DATABASE IF EXISTS %s;', @db));

但该代码无法运行，报错信息为：

'formatmessage' 附近有语法错误。

请问是否有技巧可以让FORMATMESSAGE与EXECUTE结合使用？

说明
本问题因被认为与另一T-SQL语法问题重复而被关闭。虽然解决方案可能相同（EXECUTE不允许包含函数调用的表达式），但存在以下差异：

• 问题核心不同（本问题针对FORMATMESSAGE()而非字符串拼接），因此寻求解决方案的用户不会自然联想到另一问题；
• 另一问题的答案及参考文档均未明确说明：字符串可通过拼接等方式求值，但不能包含函数调用。

解决方案 #

SQL Server的EXECUTE（或简写EXEC）语句不支持直接将函数调用作为参数传入，必须先把FORMATMESSAGE的执行结果存储到变量中，再将变量传入EXECUTE。

修改后的可用代码如下：

DECLARE @db NVARCHAR(12) = 'test';
DECLARE @sql NVARCHAR(MAX);
SET @sql = formatmessage(N'USE master; DROP DATABASE IF EXISTS %s;', @db);
EXECUTE(@sql);

如果追求更高的安全性（避免SQL注入风险），更推荐使用sp_executesql来执行动态SQL，它支持参数化传递：

DECLARE @db NVARCHAR(12) = 'test';
DECLARE @sql NVARCHAR(MAX);
SET @sql = N'USE master; DROP DATABASE IF EXISTS @dbName;';
EXECUTE sp_executesql @sql, N'@dbName NVARCHAR(12)', @dbName = @db;

内容的提问来源于stack exchange，提问作者Manngo