如何在非存储过程的SQL脚本中用变量执行DROP TABLE语句？

你遇到的Incorrect syntax near '@dbname'错误，是因为SQL Server的DDL语句（如DROP TABLE）不支持直接使用变量作为对象名称，必须通过动态SQL来实现。

以下是修正后的代码，兼顾安全性和正确性：

DECLARE @dbname varchar(128) = 'Some_Name';
DECLARE @sql nvarchar(max);

-- 仅检查用户表是否存在（避免误删视图、存储过程等对象）
IF EXISTS (SELECT * FROM sys.objects WHERE name = @dbname AND type = 'U')
BEGIN
    -- 用QUOTENAME处理表名，避免特殊字符/关键字问题，同时防范SQL注入
    SET @sql = N'DROP TABLE ' + QUOTENAME(@dbname);
    -- 执行动态SQL
    EXEC sp_executesql @sql;
END

关键注意事项： #

• QUOTENAME函数：自动给表名添加方括号，处理包含空格、特殊字符或关键字的表名，同时避免简单SQL注入风险。
• 过滤对象类型：添加type = 'U'确保只针对用户表进行检查和删除，防止误删其他类型数据库对象。
• sp_executesql：相比直接使用EXEC()，它是更安全的动态SQL执行方式，支持参数化（若后续有其他参数需求更灵活）。

如果你的表不在默认的dbo架构下，或者需要跨数据库操作，可以调整代码加入架构名/数据库名：

-- 示例：指定架构和数据库
DECLARE @dbname varchar(128) = 'Some_Name';
DECLARE @schemaName varchar(128) = 'YourSchema';
DECLARE @db varchar(128) = 'YourDatabase';
DECLARE @sql nvarchar(max);

IF EXISTS (SELECT * FROM sys.objects 
           WHERE name = @dbname 
             AND type = 'U'
             AND schema_id = SCHEMA_ID(@schemaName))
BEGIN
    SET @sql = N'DROP TABLE ' + QUOTENAME(@db) + '.' + QUOTENAME(@schemaName) + '.' + QUOTENAME(@dbname);
    EXEC sp_executesql @sql;
END

内容的提问来源于stack exchange，提问作者spinjector