执行动态SQL报错：varchar值'43302001-8'转int类型失败求助

错误原因 #

你的动态SQL拼接时，WHERE子句中针对字符串类型的PART_NUM列，没有给:text参数值添加单引号。SQL Server解析时会把43302001-8当成数值表达式计算，尝试转换为int类型，从而触发转换失败错误。

修复方法 #

方法1：添加单引号（需注意SQL注入风险） #

在拼接:text参数时，给值加上单引号：

DECLARE @sqlText nvarchar(1000); 

SET @sqlText = N'SELECT TOP ' + CAST((:intValue) AS VARCHAR(20)) +  ' t_stamp, PART_NUM, ' + :Column  + ' FROM dbo.press_7_recipes_log WHERE PART_NUM = ''' + CAST(:text AS VARCHAR(20)) + ''''
Exec (@sqlText)

注意：如果:text参数可能包含单引号，这种方法会引发语法错误，且存在SQL注入风险，不推荐用于用户输入场景。

方法2：使用sp_executesql参数化查询（安全推荐） #

通过参数化方式传递字符串参数，避免拼接错误和SQL注入：

DECLARE @sqlText nvarchar(1000);
DECLARE @partNum varchar(20) = :text;
DECLARE @topNum int = :intValue;

SET @sqlText = N'SELECT TOP (@topNum) t_stamp, PART_NUM, ' + :Column  + ' FROM dbo.press_7_recipes_log WHERE PART_NUM = @partNum'
EXEC sp_executesql @sqlText, N'@topNum int, @partNum varchar(20)', @topNum, @partNum;

这种方式把:text和:intValue作为参数传递，不需要手动加单引号，同时彻底避免SQL注入风险，是动态SQL的最佳实践。

另外，针对动态列:Column，需要确保传入的列名是合法的（比如提前校验白名单），防止注入攻击。

内容的提问来源于stack exchange，提问作者James