存储过程嵌套EXEC中表变量注入语法错误问题求助

错误原因 #

1. 变量引用错误：最后执行语句EXEC (SQL);中的SQL是关键字，并非你定义的变量@sql，正确写法应为EXEC (@sql);。
2. 单引号转义错误：嵌套动态SQL时的单引号处理混乱，导致表名被错误解析为字符串常量，触发语法错误。
3. 存储过程名称拼写错误：SP_EXECUTIONSQL应为sp_executesql（SQL Server官方存储过程名称）。
4. 冗余嵌套动态SQL：你的场景不需要两层动态SQL，一层即可解决编译阶段的表存在性检查问题。

修复后的存储过程 #

ALTER PROCEDURE dbo.TestProc (@table VARCHAR(50))
AS
BEGIN
    SET NOCOUNT ON;
    DECLARE @sql AS NVARCHAR(MAX) -- sp_executesql要求Unicode类型参数

    -- 前置校验：确保传入的表存在于dbo架构下
    IF NOT EXISTS (SELECT 1 FROM sys.tables WHERE name = @table AND schema_id = SCHEMA_ID('dbo'))
    BEGIN
        RAISERROR('指定的表不存在', 16, 1);
        RETURN;
    END

    -- 构建动态SQL，用QUOTENAME避免注入并处理特殊表名
    SET @sql = N'IF EXISTS (SELECT PersonID FROM dbo.' + QUOTENAME(@table) + N')
                BEGIN 
                    INSERT INTO dbo.TEST(PerID, Name, Age) 
                    SELECT T.PerID, T.Name, T.Age 
                    FROM dbo.' + QUOTENAME(@table) + N' T  
                END'

    EXEC sp_executesql @sql;
END

核心优化说明 #

• QUOTENAME函数：自动为表名添加方括号，既避免SQL注入风险，又能正确处理包含特殊字符（如空格、连字符）的表名。
• Unicode字符串类型：sp_executesql要求动态SQL字符串为NVARCHAR类型，因此将@sql定义为NVARCHAR(MAX)而非VARCHAR(MAX)。
• 表存在性校验：提前验证传入的表是否存在，避免无效执行和恶意注入。
• 简化动态SQL层级：一层动态SQL即可绕过静态SQL的预编译检查——动态SQL在执行阶段才编译，不会提前校验分支中未执行到的表是否存在，完美解决你遇到的IF ELSE分支被强制编译的问题。

内容的提问来源于stack exchange，提问作者danierutegu