存储过程中游标如何接收参数？解决@DictionaryTable参数不可见问题

原代码的核心问题是：你传入的@DictionaryTable是字符串类型的表名，但静态游标中的FROM @DictionaryTable会被SQL Server视为表变量，而非字符串存储的实际表名，因此无法识别。以下是两种可行的修改方案：

方案一：临时表中转数据 #

通过临时表存储目标表的数据，再让游标从临时表读取，这种方式直观易调试：

CREATE PROCEDURE GenerateUpdates
    @DictionaryTable VARCHAR(50) 
AS
BEGIN
    SET NOCOUNT ON;

    -- 创建与目标表结构匹配的临时表
    CREATE TABLE #DictTable (
        table_name VARCHAR(128),
        column_name VARCHAR(128),
        UpdatedValue VARCHAR(1024)
    )

    DECLARE
         @table_name VARCHAR(128) 
        ,@update_column VARCHAR(128) 
        ,@update_data VARCHAR(1024)
        ,@s VARCHAR(MAX)
        ,@insertSql VARCHAR(MAX)

    -- 构建动态SQL，将目标表数据导入临时表
    SET @insertSql = 'INSERT INTO #DictTable SELECT table_name, column_name, UpdatedValue FROM ' + QUOTENAME(@DictionaryTable)
    EXEC(@insertSql)

    -- 游标从临时表读取数据
    DECLARE x CURSOR LOCAL FAST_FORWARD FOR
        SELECT table_name, column_name, UpdatedValue
        FROM #DictTable

    OPEN x;
    FETCH NEXT FROM x INTO @table_name, @update_column, @update_data;

    WHILE @@fetch_status = 0
    BEGIN
        -- 处理字符串中的单引号，避免语法错误与SQL注入
        SET @s = '
                update ' + QUOTENAME(@table_name) + ' 
                set  ' + QUOTENAME(@update_column) + ' = ''' + REPLACE(@update_data, '''', '''''') + '''';
                
        BEGIN TRY
            --exec(@s); 
            PRINT (@s);
        END TRY
        BEGIN CATCH
            PRINT ERROR_MESSAGE()
        END CATCH;
        FETCH NEXT FROM x INTO @table_name, @update_column, @update_data;
    END

    CLOSE x;
    DEALLOCATE x;
    -- 清理临时表
    DROP TABLE #DictTable;

END

方案二：动态声明游标 #

直接通过动态SQL构建游标定义，无需中转数据，代码更简洁：

CREATE PROCEDURE GenerateUpdates
    @DictionaryTable VARCHAR(50) 
AS
BEGIN
    SET NOCOUNT ON;

    DECLARE
         @table_name VARCHAR(128) 
        ,@update_column VARCHAR(128) 
        ,@update_data VARCHAR(1024)
        ,@s VARCHAR(MAX)
        ,@cursorSql VARCHAR(MAX)

    -- 构建动态游标声明语句
    SET @cursorSql = 'DECLARE x CURSOR LOCAL FAST_FORWARD FOR SELECT table_name, column_name, UpdatedValue FROM ' + QUOTENAME(@DictionaryTable)
    -- 执行动态SQL完成游标声明
    EXEC(@cursorSql)

    OPEN x;
    FETCH NEXT FROM x INTO @table_name, @update_column, @update_data;

    WHILE @@fetch_status = 0
    BEGIN
        -- 处理字符串中的单引号，避免语法错误与SQL注入
        SET @s = '
                update ' + QUOTENAME(@table_name) + ' 
                set  ' + QUOTENAME(@update_column) + ' = ''' + REPLACE(@update_data, '''', '''''') + '''';
                
        BEGIN TRY
            --exec(@s); 
            PRINT (@s);
        END TRY
        BEGIN CATCH
            PRINT ERROR_MESSAGE()
        END CATCH;
        FETCH NEXT FROM x INTO @table_name, @update_column, @update_data;
    END

    CLOSE x;
    DEALLOCATE x;

END

关键注意点 #

• 使用QUOTENAME()处理表名和列名，避免非法字符与SQL注入。
• 用REPLACE(@update_data, '''', '''''')替换字符串中的单引号，防止动态SQL出现语法错误。

内容的提问来源于stack exchange，提问作者Alexander Kostilev