如何仅用SQL实现按指定表定义的动态列顺序查询？

完全可以只用SQL实现这个需求，不同版本的SQL Server有对应的实现方式，下面分情况说明：

适用于SQL Server 2017及以上版本（支持STRING_AGG函数） #

利用STRING_AGG函数直接按指定顺序拼接列名，代码示例：

DECLARE @columns NVARCHAR(MAX);
DECLARE @sql NVARCHAR(MAX);

-- 从zGenericOrder按设定顺序提取列名，拼接成逗号分隔的字符串
SELECT @columns = STRING_AGG(QUOTENAME(TableColumnName), ', ')
FROM zGenericOrder
ORDER BY [排序字段]; -- 替换为zGenericOrder中控制列顺序的实际字段，比如OrderID

-- 生成完整查询语句
SET @sql = N'SELECT ' + @columns + N' FROM dbo.zAddress';

-- 执行动态SQL
EXEC sp_executesql @sql;

这里用QUOTENAME包裹列名，是为了处理列名含特殊字符（比如空格、关键字）的情况，避免语法错误；STRING_AGG的ORDER BY参数能保证列顺序完全匹配zGenericOrder的设置。

适用于SQL Server 2016及以下版本（无STRING_AGG函数） #

用FOR XML PATH拼接字符串，代码示例：

DECLARE @columns NVARCHAR(MAX);
DECLARE @sql NVARCHAR(MAX);

-- 拼接列名，去掉开头多余的逗号和空格
SELECT @columns = STUFF(
    (SELECT ', ' + QUOTENAME(TableColumnName)
     FROM zGenericOrder
     ORDER BY [排序字段] -- 替换为实际排序字段
     FOR XML PATH(''), TYPE).value('.', 'NVARCHAR(MAX)'),
    1, 2, ''
);

-- 生成查询语句
SET @sql = N'SELECT ' + @columns + N' FROM dbo.zAddress';

-- 执行动态SQL
EXEC sp_executesql @sql;

STUFF函数用来剔除拼接后字符串开头的, ，FOR XML PATH('')会把查询结果合并成一个连续的字符串。

额外注意事项 #

• 要确保zGenericOrder里的TableColumnName值全部存在于zAddress的列名中，否则执行动态SQL会报错；
• 如果需要过滤zAddress的数据，可以直接在生成的SQL后追加WHERE条件，比如SET @sql = N'SELECT ' + @columns + N' FROM dbo.zAddress WHERE CreateDate > ''2024-01-01''';；
• 优先用sp_executesql执行动态SQL，比直接用EXEC更安全，能降低SQL注入风险，还支持参数化查询。

内容的提问来源于stack exchange，提问作者sar123