Snowflake：如何在存储过程中为DDL语句绑定变量？

SQL绑定变量（?或:1）仅支持数据值占位，比如INSERT的字段值、SELECT的WHERE条件值这类场景。但CREATE ROLE这类DDL语句里的角色名属于数据库标识符（如角色名、表名、列名），SQL语法不允许用绑定变量替换标识符，这就是调用TEST2时抛出语法错误的核心原因。

虽然不能直接用绑定变量，但可以利用数据库自带的标识符转义函数安全拼接DDL语句，既满足动态传入角色名的需求，又能彻底避免SQL注入。以SAP HANA为例，使用QUOTENAME()函数处理角色名：

CREATE PROCEDURE TEST2 (name VARCHAR)
RETURNS VARCHAR NOT NULL
LANGUAGE SQL
AS
DECLARE
  query VARCHAR;
BEGIN
  -- 用QUOTENAME转义角色名，自动处理特殊字符与注入风险
  query := 'CREATE ROLE ' || QUOTENAME(name);
  EXECUTE IMMEDIATE :query;
  RETURN 'OK';
END;

-- 测试正常输入
CALL TEST2('NORMAL_ROLE');
-- 测试含特殊字符的输入（自动转义，无注入风险）
CALL TEST2('ROLE_WITH"特殊"字符');

• QUOTENAME()会自动给角色名添加合法的标识符引号（HANA中为双引号），如果输入包含引号等特殊字符，函数会自动转义（比如把"变成""），确保拼接后的SQL语句结构合法。
• 即使传入恶意注入内容（比如'; DROP ROLE TEST; --），转义后会变成"; DROP ROLE TEST; --"，只会被当作一个完整的角色名处理，不会执行恶意DDL语句。

内容的提问来源于stack exchange，提问作者user18243519