MariaDB自定义getMax函数报错1146，如何替换参数为实际值？

原函数代码尝试直接用参数作为表名和列名：

DELIMITER // 
CREATE FUNCTION `getMax`(`cTable` VARCHAR(255), `cColumn` VARCHAR(255)) 
RETURNS INT DETERMINISTIC
BEGIN
    DECLARE nMax INT;
    SET nMax = 0;
    SELECT MAX(`cColumn`) INTO nMax FROM `cTable`;
    RETURN nMax;
END; //
DELIMITER ;

执行时出现错误：

Erro SQL (1146): Table 'db.cTable' doesn't exist

错误原因 #

MariaDB的静态SQL语句中，不会将cTable、cColumn这类参数解析为实际传入的表名/列名，而是直接把它们当作字面量的对象名称，所以数据库会去查找名为cTable的表，自然找不到。要实现动态指定表和列，必须使用动态SQL（预处理语句）。

修正后的函数代码 #

DELIMITER // 
CREATE FUNCTION `getMax`(`cTable` VARCHAR(255), `cColumn` VARCHAR(255)) 
RETURNS INT 
NOT DETERMINISTIC -- 不同表/列的查询结果不同，不符合确定性函数要求
BEGIN
    DECLARE nMax INT DEFAULT 0;
    DECLARE dynSql VARCHAR(1000);
    
    -- 拼接动态SQL，用反引号包裹表名和列名，避免特殊字符冲突
    SET dynSql = CONCAT('SELECT MAX(`', cColumn, '`) INTO @maxVal FROM `', cTable, '`');
    
    -- 执行动态SQL
    PREPARE stmt FROM dynSql;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
    
    -- 将会话变量的值赋值给局部变量
    SET nMax = @maxVal;
    RETURN nMax;
END; //
DELIMITER ;

关键说明 #

• 动态SQL拼接：用CONCAT把参数拼接到SQL语句中，反引号``用来包裹表名和列名，避免当表/列名包含特殊字符（比如空格、关键字）时出错。
• 预处理语句：通过PREPARE、EXECUTE、DEALLOCATE PREPARE执行动态生成的SQL语句，这是MariaDB中处理动态对象名称的标准方式。
• 会话变量中转：动态SQL的INTO子句无法直接赋值给局部变量，因此先用会话变量@maxVal接收结果，再转存到局部变量nMax。

使用示例 #

-- 查询users表中id列的最大值
SELECT getMax('users', 'id');

注意事项 #

• SQL注入风险：如果参数来自外部用户输入，必须先做合法性验证（比如校验表名/列名是否在允许的列表内），防止SQL注入攻击。
• 权限要求：执行函数的用户需要具备目标表的SELECT权限。

内容的提问来源于stack exchange，提问作者HardShop