Sybase存储过程中执行带变量动态SQL的方法（解决exec语法报错）

方法1：使用EXEC语句（字符串拼接方式） #

Sybase ASE中执行动态SQL的EXEC语法和SQL Server存在细节差异，拼接好SQL字符串后，按如下方式调用即可：

begin
    declare 
        @sSQL       varchar(1000), -- 若Sybase版本不支持varchar(max)，可替换为varchar(8000)或对应版本支持的最大长度
        @cod1       varchar(10)

    -- 引号转义规则与SQL Server一致
    set @sSQL = 'update myTable set col_name=''ERR'' where col_id=''' + @cod1 + ''''
    -- Sybase中执行动态SQL的正确写法
    exec (@sSQL)
end

方法2：使用sp_executesql实现参数化（推荐，规避SQL注入） #

为避免SQL注入风险，更推荐参数化的动态SQL写法，无需手动拼接引号：

begin
    declare 
        @sSQL       varchar(1000),
        @cod1       varchar(10)

    -- 定义带参数占位符的SQL模板
    set @sSQL = 'update myTable set col_name=''ERR'' where col_id = @cod1_param'
    -- 调用sp_executesql传递参数定义与实际值
    exec sp_executesql 
        @sSQL,
        '@cod1_param varchar(10)', -- 参数类型定义
        @cod1 -- 对应参数值
end

关键说明 #

• Sybase ASE支持exec (@变量)的写法，但需注意字符串变量的长度限制；
• 参数化方式不仅能避免SQL注入，还能减少引号转义带来的语法错误，是更安全可靠的方案。

内容的提问来源于stack exchange，提问作者user23235629