如何在SSMS动态SQL的SELECT语句中传入字符串变量而非列名？

问题根源 #

你直接将@Folder01、@Folder02这类字符串变量拼接进SQL语句时，没有给它们添加字符串标识（单引号），导致SQL引擎把这些变量值当成了表的列名，而非字符串常量。比如原代码拼接后生成的SQL是：

SELECT CONCAT(Documents, '/', Images, '/', ADT.FileName) AS FilePaths
FROM AAA_Demo_Table ADT

这里Documents和Images没有被单引号包裹，SQL会尝试查找这两个列，自然执行失败。

解决方案 #

方法1：拼接时为变量添加单引号（不推荐，存在注入风险） #

手动给变量值包裹单引号，注意SQL里单引号需要用两个单引号转义：

DECLARE @DemoTable VARCHAR(200)
DECLARE @Folder01 VARCHAR(200)
DECLARE @Folder02 VARCHAR(200)
DECLARE @Query1 NVARCHAR(MAX)

SET @DemoTable = 'AAA_Demo_Table'
SET @Folder01 = 'Documents'
SET @Folder02 = 'Images'

SET @Query1 = '
SELECT CONCAT(''' + @Folder01 + ''', ''/'', ''' + @Folder02 + ''', ''/'', ADT.[Filename]) AS FilePaths
FROM ' + @DemoTable + ' ADT
'

EXEC sp_executesql @Query1

注意：如果变量值包含单引号（比如O'Neil），这种方法会直接报错，且存在SQL注入风险，仅适用于完全可控的变量场景。

方法2：使用sp_executesql参数化传递变量（推荐，安全可靠） #

这是SQL Server动态SQL的最佳实践，通过sp_executesql的参数列表传递变量，既避免注入，又能让SQL正确识别字符串：

DECLARE @DemoTable VARCHAR(200)
DECLARE @Folder01 VARCHAR(200)
DECLARE @Folder02 VARCHAR(200)
DECLARE @Query1 NVARCHAR(MAX)

SET @DemoTable = 'AAA_Demo_Table'
SET @Folder01 = 'Documents'
SET @Folder02 = 'Images'

-- 构建带参数占位符的SQL语句，表名仍需拼接（因为表名不能参数化）
SET @Query1 = '
SELECT CONCAT(@Folder1, ''/'', @Folder2, ''/'', ADT.[Filename]) AS FilePaths
FROM ' + @DemoTable + ' ADT
'

-- 通过sp_executesql的第二个参数定义参数，第三个参数传递实际值
EXEC sp_executesql 
    @Query1,
    N'@Folder1 VARCHAR(200), @Folder2 VARCHAR(200)',
    @Folder1 = @Folder01,
    @Folder2 = @Folder02

这种方式下，@Folder1和@Folder2会被正确识别为字符串变量，同时避免了SQL注入风险，也能处理包含特殊字符的路径值。

额外说明：表名参数化的替代方案 #

如果想进一步规范表名的使用，避免拼接时的注入风险，可以用QUOTENAME函数包裹表名，确保表名被正确识别为对象名：

SET @Query1 = '
SELECT CONCAT(@Folder1, ''/'', @Folder2, ''/'', ADT.[Filename]) AS FilePaths
FROM ' + QUOTENAME(@DemoTable) + ' ADT
'

QUOTENAME会给表名添加方括号，防止表名包含特殊字符或与关键字冲突。

内容的提问来源于stack exchange，提问作者WJTownsend