为何sp_executesql报语法警告？如何解决该问题？

警告原因 #

当前代码直接将变量@USstate拼接进动态SQL字符串中，这种写法没有利用sp_executesql的参数化查询能力：

• 拼接后的SQL语句会变成SELECT * FROM Customer WHERE state = OHIO，这里的OHIO未加单引号，实际执行时会触发语法错误（SQL会将OHIO识别为列名而非字符串值）
• 工具检测到你误用了变量拼接方式而非标准参数化写法，因此抛出警告，提示变量被转换为SqlParameter对象，但你的写法并未正确运用参数化逻辑

修复方法 #

使用sp_executesql的参数化特性，避免直接拼接字符串，同时解决语法错误与警告：

DECLARE @USstate nvarchar(15) = N'OHIO'
DECLARE @sql1 nvarchar(500)
-- 使用参数占位符@state替代直接拼接变量
SET @sql1 = N'SELECT * FROM Customer WHERE state = @state'
-- 通过sp_executesql的第二个参数定义参数类型，第三个参数传递参数值
EXECUTE sp_executesql @sql1, N'@state nvarchar(15)', @state = @USstate

修复优势 #

• 彻底消除语法警告，符合SQL Server动态SQL的最佳实践
• 避免SQL注入风险
• 无需手动处理字符串引号，从根源防止语法错误

内容的提问来源于stack exchange，提问作者nam