如何在EXECUTE语句中使用存储过程参数？相关技术疑问

问题1：存储过程中能否直接使用局部参数替代用户变量？ #

这是MySQL的语法限制导致的：EXECUTE ... USING子句仅支持用户变量（以@开头），无法直接引用存储过程的局部参数（比如你定义的name）。哪怕把参数名改成@name也不行，因为存储过程的参数是局部作用域，和全局的用户变量@name不属于同一作用域，无法被识别。

解决办法： #

有两种更简洁的方案可选：

1. 放弃动态SQL，直接使用静态查询（推荐，你的场景不需要动态SQL）：
   给参数改名避免和列名冲突，比如改成p_name，直接写静态SELECT语句即可：

   DELIMITER $$
   CREATE PROCEDURE `findUserByName`(IN `p_name` VARCHAR(36))
   BEGIN
     SELECT * FROM user WHERE name = p_name;
   END$$
   

2. 保留动态SQL但简化变量赋值：
   可以直接在EXECUTE语句里完成局部参数到用户变量的赋值，省去单独的set语句：

   DELIMITER $$
   CREATE PROCEDURE `findUserByName`(IN `name` VARCHAR(36))
   BEGIN
     PREPARE findStmt FROM 'SELECT * FROM user WHERE name=?';
     EXECUTE findStmt USING @name := name; -- 直接在USING中完成赋值
   END$$
   

问题2：存储过程中直接拼接参数是否安全？ #

完全不安全，会存在严重的SQL注入风险。

哪怕PHP层用了预编译，存储过程里的参数拼接操作直接绕开了参数化防护。比如如果传入的name值是' OR '1'='1，拼接后的SQL会变成：

SELECT * FROM user WHERE name='' OR '1'='1'

这会返回user表的所有数据，更危险的注入甚至可以删除数据、篡改表结构。

正确的做法还是坚持用参数化查询——要么用静态SQL直接引用参数，要么用动态SQL配合USING传递用户变量，绝对不要直接拼接字符串。

内容的提问来源于stack exchange，提问作者shingo