SQL Server中能否用sp_executesql传入数据库名参数指定查询源？

你没法直接用sp_executesql的参数指定数据库名这类对象标识符，因为它的参数仅支持替换查询值，不支持替换数据库、表、列名这类语法结构。你写的@db.dbo.table1会被引擎当成语法错误，自然报"Incorrect syntax near '.'."。

要实现安全的动态数据源查询，得结合QUOTENAME()函数和动态SQL拼接，同时保留sp_executesql对查询参数的安全处理能力：

• 用QUOTENAME()处理数据库名，避免SQL注入风险
• 将处理后的数据库名拼接到动态SQL语句中
• 查询里的条件值仍通过sp_executesql的参数传递，保留参数化的安全检查

示例代码：

DECLARE @my_db VARCHAR(30) = 'MyDatabase';
DECLARE @target_id INT = 5; -- 示例查询参数
DECLARE @sql NVARCHAR(MAX);

-- 用QUOTENAME包裹数据库名，防止注入
SET @sql = N'SELECT TOP 10 * FROM ' + QUOTENAME(@my_db) + N'.dbo.table1 WHERE id = @id';

-- 执行时参数化查询条件
EXEC sys.sp_executesql 
    @stmt = @sql, 
    @params = N'@id INT', 
    @id = @target_id;

QUOTENAME()会自动给数据库名加上方括号，就算传入恶意字符串也会被转成安全的标识符格式，比如MyDatabase; DROP TABLE...会变成[MyDatabase; DROP TABLE...]，不会触发注入操作。如果你的查询没有额外条件参数，去掉@params相关部分即可。

内容的提问来源于stack exchange，提问作者Bendom