PostgreSQL如何动态执行存储过程？求类似T-SQL的EXEC @uri实现方法

核心思路 #

PostgreSQL 没有像 SQL Server（T-SQL）中直接 EXEC @uri 的语法，但可以通过动态SQL结合EXECUTE语句实现类似功能——先拼接出完整的存储过程调用语句，再执行它。关键是要正确拼接存储过程名，并安全传递参数（避免SQL注入）。

具体实现步骤 #

1. 动态调用无返回值存储过程（CALL） #

如果要调用的是无返回值的存储过程（PostgreSQL中用PROCEDURE定义），可以拼接CALL语句，再用EXECUTE执行：

DO $$
DECLARE
  proc_name text := 'public.dothisprocedure'; -- 从其他表获取的存储过程名
  dt_from timestamp := '2024-01-01 00:00:00';
  dt_to timestamp := '2024-01-02 00:00:00';
BEGIN
  -- 用format函数安全拼接标识符，占位符绑定参数
  EXECUTE format('CALL %I($1, $2)', proc_name)
    USING dt_from, dt_to; -- 传递参数，避免SQL注入
END $$;

• %I是format函数的标识符占位符，会自动处理存储过程名中的特殊字符和引号，避免语法错误
• 必须用USING子句绑定参数，不要直接把参数值拼进SQL字符串，防止注入风险

2. 调用有返回值的函数（SELECT） #

如果是有返回值的函数（PostgreSQL中用FUNCTION定义），拼接SELECT语句即可：

DO $$
DECLARE
  func_name text := 'public.getsomedata';
  dt_from timestamp := '2024-01-01 00:00:00';
  dt_to timestamp := '2024-01-02 00:00:00';
  result record;
BEGIN
  EXECUTE format('SELECT * FROM %I($1, $2)', func_name)
    INTO result -- 接收返回结果
    USING dt_from, dt_to;
  -- 自定义结果处理逻辑
  RAISE NOTICE '执行结果: %', result;
END $$;

3. 带命名参数的调用 #

如果存储过程使用命名参数，同样可以拼接进动态SQL：

DO $$
DECLARE
  proc_name text := 'public.dothisprocedure';
  dt_from timestamp := '2024-01-01 00:00:00';
  dt_to timestamp := '2024-01-02 00:00:00';
BEGIN
  EXECUTE format('CALL %I(dt_from => $1, dt_to => $2)', proc_name)
    USING dt_from, dt_to;
END $$;

关键注意事项 #

• EXECUTE可以执行任何合法的SQL语句，包括存储过程/函数调用，之前你觉得它只能执行SELECT/UPDATE是误解
• 必须验证从其他表获取的存储过程名的合法性和可信度，即使使用%I，也要避免恶意注入
• PostgreSQL没有专门的Eval功能，动态SQL结合EXECUTE就是实现该需求的标准方式

内容的提问来源于stack exchange，提问作者Sean Williams