求助编写基于IsDeleteIDs表的动态表名关联删除存储过程

原存储过程存在以下问题导致无法得到预期结果：

• SQL字符串拼接时缺少必要空格，会生成语法错误的SQL语句（比如DELETE[tst.bookableresourcebooking]FROM...这类非法格式）
• 未加入b.TableName = 目标表名的过滤条件，会误删所有ID匹配但不属于当前表的记录
• 未正确拼接指定的tst schema，且未通过参数化传递表名，存在SQL注入风险
• 未使用表别名简化语句，可读性差

正确的存储过程代码 #

CREATE PROCEDURE [dbo].[DeleteTableRows]  
    @TableName varchar(100)
AS
BEGIN
    SET NOCOUNT ON; -- 关闭影响行数的消息输出，提升性能
    DECLARE @schema VARCHAR(256) = 'tst';
    DECLARE @SqlText NVARCHAR(MAX);

    -- 拼接带schema的完整表名，使用参数化传递@TableName避免注入
    SET @SqlText = N'DELETE a 
                     FROM ' + QUOTENAME(@schema) + '.' + QUOTENAME(@TableName) + N' a
                     INNER JOIN [del].[IsDeleteIDs] b 
                         ON a.id = b.id 
                         AND b.TableName = @TargetTableName';

    -- 执行动态SQL并传递参数
    EXEC sp_executesql @SqlText, 
                       N'@TargetTableName varchar(100)', 
                       @TargetTableName = @TableName;
END

关键说明 #

• 使用QUOTENAME()函数处理表名和schema，避免特殊字符导致的语法错误
• 通过sp_executesql的参数化传递@TableName，彻底避免SQL注入风险
• 加入b.TableName = @TargetTableName条件，确保只删除对应表的待删记录
• 加入SET NOCOUNT ON;减少不必要的网络传输，提升存储过程性能
• 使用表别名a简化语句，和你提供的原始静态SQL逻辑保持一致

内容的提问来源于stack exchange，提问作者valeska Long