将变量传入MySQL CURSOR的SELECT查询：存储过程异常排查

嘿，你的这段存储过程代码不正确，问题根源在于你直接在游标声明里使用变量colName的方式——MySQL并不会把它解析成你想要的列名，而是会把colName当成一个字符串常量来处理！

为什么硬编码列名有效，用变量就不行？ #

当你写DECLARE cur1 CURSOR FOR SELECT MSH3 FROM data1时，MySQL明确知道要查询data1表中的MSH3列；但换成SELECT colName FROM data1后，MySQL会误认为你要查询一个名为colName的列（如果你的表中没有这个列，查询结果全是NULL，自然匹配不到textValue，计数器i一直是0）。

静态SQL（比如你写的游标声明语句）里无法直接用变量替换标识符（列名、表名这类），必须用动态SQL来解决这个问题。

最优解决方案：不用游标，直接动态统计 #

其实你不需要用游标逐行循环计数，直接用COUNT(*)结合动态SQL效率高得多，代码也更简洁：

DROP PROCEDURE IF EXISTS test1.checkHardcodedField;
CREATE PROCEDURE test1.checkHardcodedField(IN textValue CHAR(10), colName CHAR(10), OUT counter VARCHAR(100))
BEGIN
    -- 先校验列名是否合法，防止SQL注入
    IF NOT EXISTS (
        SELECT 1 
        FROM INFORMATION_SCHEMA.COLUMNS 
        WHERE TABLE_SCHEMA = 'test1' 
          AND TABLE_NAME = 'data1' 
          AND COLUMN_NAME = colName
    ) THEN
        SET counter = '错误：无效的列名';
        RETURN;
    END IF;

    -- 构建动态SQL，统计匹配textValue的行数
    SET @sql = CONCAT('SELECT COUNT(*) INTO @count FROM data1 WHERE ', colName, ' = ?');
    -- 预处理动态语句
    PREPARE stmt FROM @sql;
    -- 绑定参数并执行
    SET @val = textValue;
    EXECUTE stmt USING @val;
    -- 将统计结果赋值给输出变量
    SET counter = @count;
    -- 释放预处理资源
    DEALLOCATE PREPARE stmt;
END;

如果一定要用游标（比如有额外逐行逻辑） #

如果你确实需要用游标处理每一行数据，可以先把动态查询的结果存入临时表，再用游标查询临时表：

DROP PROCEDURE IF EXISTS test1.checkHardcodedField;
CREATE PROCEDURE test1.checkHardcodedField(IN textValue CHAR(10), colName CHAR(10), OUT counter VARCHAR(100))
BEGIN
    DECLARE done INT DEFAULT FALSE;
    DECLARE temp CHAR(16);
    DECLARE i INT DEFAULT 0;

    -- 校验列名合法性
    IF NOT EXISTS (
        SELECT 1 
        FROM INFORMATION_SCHEMA.COLUMNS 
        WHERE TABLE_SCHEMA = 'test1' 
          AND TABLE_NAME = 'data1' 
          AND COLUMN_NAME = colName
    ) THEN
        SET counter = '错误：无效的列名';
        RETURN;
    END IF;

    -- 创建临时表存储动态查询结果
    DROP TEMPORARY TABLE IF EXISTS temp_data;
    SET @sql = CONCAT('CREATE TEMPORARY TABLE temp_data SELECT ', colName, ' AS col_val FROM data1');
    PREPARE stmt FROM @sql;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;

    -- 声明游标查询临时表
    DECLARE cur1 CURSOR FOR SELECT col_val FROM temp_data;
    DECLARE CONTINUE HANDLER FOR NOT FOUND SET done = TRUE;

    OPEN cur1;
    read_loop: LOOP
        FETCH cur1 INTO temp;
        IF done THEN
            LEAVE read_loop;
        END IF;
        IF temp = textValue THEN
            SET i = i + 1;
        END IF;
    END LOOP;

    SET counter = i;
    CLOSE cur1;
    DROP TEMPORARY TABLE temp_data;
END;

重要提醒：防范SQL注入 #

一定要注意校验colName参数的合法性！如果这个参数来自用户输入，恶意攻击者可能通过构造特殊列名执行恶意SQL语句。上面的代码已经加入了列名校验，确保只有data1表中存在的列才能被查询。

内容的提问来源于stack exchange，提问作者Sagar Sutar