如何在SQL中通过带引号的变量构造字符串实现XML字段的动态提取

你提到的两种写法其实只是在构造SQL语句的文本字符串，直接执行SELECT只会返回这些字符串内容，不会真正提取XML里的字段值。要实现动态提取需求，得用动态SQL来执行你构造好的语句，同时要正确处理字符串中的单引号转义（SQL里需要用两个单引号''来表示一个实际的单引号'）。

基于你思路的改进方案 #

我们可以通过拼接字符串生成完整的可执行SQL，再用sp_executesql（推荐，支持参数化、安全性更高）来运行它：

-- 声明拼接用的基础片段变量
DECLARE @Var1 NVARCHAR(100), @Var2 NVARCHAR(100)
SET @Var1 = 'XMLData.value(''(ImportFormXml/'
SET @Var2 = ')[1]'',''VARCHAR(50)'')'

-- 构造完整的SELECT语句
DECLARE @DynamicSQL NVARCHAR(MAX)
SET @DynamicSQL = N'SELECT 
    ' + @Var1 + 'Resolution' + @Var2 + ' AS Resolution,
    ' + @Var1 + 'Name' + @Var2 + ' AS Name
FROM TableX'

-- 执行动态SQL
EXEC sp_executesql @DynamicSQL

更灵活的批量提取方案 #

如果需要提取更多字段，可以把字段名放到列表里批量拼接，扩展性更强：

DECLARE @TargetFields NVARCHAR(MAX) = 'Resolution,Name,CreateTime' -- 要提取的字段列表
DECLARE @DynamicSQL NVARCHAR(MAX) = N'SELECT '

-- 拆分字段列表并逐个拼接提取语句
SELECT @DynamicSQL = @DynamicSQL + 
    N'XMLData.value(''(ImportFormXml/' + value + ')[1]'',''VARCHAR(50)'') AS ' + value + N','
FROM STRING_SPLIT(@TargetFields, ',')

-- 去掉语句末尾多余的逗号，补全FROM子句
SET @DynamicSQL = LEFT(@DynamicSQL, LEN(@DynamicSQL)-1) + N' FROM TableX'

-- 执行动态SQL
EXEC sp_executesql @DynamicSQL

关键注意点 #

1. 单引号转义：构造字符串时，原SQL中的单引号必须写成两个连续单引号，比如''VARCHAR(50)''，这样SQL解析器才会识别为一个正常的单引号。
2. SQL注入防护：如果字段名来自外部输入，一定要先做合法性校验（比如检查是否属于预设的允许字段列表），避免SQL注入风险。sp_executesql比直接EXEC()更安全，但字段名本身无法参数化，所以校验不可少。
3. 字符类型选择：动态SQL的变量建议用NVARCHAR而非VARCHAR，避免出现字符编码兼容问题。

内容的提问来源于stack exchange，提问作者T8100