如何在SQL Server中为OBJECT_ID传递参数化的库、架构及表名？

要实现带数据库、架构参数的表删除逻辑（存在则删除），直接在OBJECT_ID中嵌入变量是无效的——SQL Server无法直接解析字符串中的变量。需要通过动态SQL拼接合法对象名的方式解决，同时要注意避免SQL注入风险，以下是两种可靠的实现方式：

方式一：OBJECT_ID+动态SQL+QUOTENAME #

通过拼接完整的对象标识符字符串，利用QUOTENAME函数给数据库、架构、表名加上方括号，确保特殊字符（如空格、关键字）能被正确解析，同时防范注入：

DECLARE @TargetDBName NVARCHAR(100) = 'PRD_Inventory'
DECLARE @TargetSchema NVARCHAR(100) = 'usr'
DECLARE @TableName NVARCHAR(100) = 'TempUserData'
DECLARE @DropSQL NVARCHAR(MAX)

-- 拼接带QUOTENAME的删除语句
SET @DropSQL = N'IF OBJECT_ID(''' + QUOTENAME(@TargetDBName) + '.' + QUOTENAME(@TargetSchema) + '.' + QUOTENAME(@TableName) + ''') IS NOT NULL 
DROP TABLE ' + QUOTENAME(@TargetDBName) + '.' + QUOTENAME(@TargetSchema) + '.' + QUOTENAME(@TableName)

-- 执行动态SQL
EXEC sp_executesql @DropSQL

方式二：通过系统视图检查表存在性（更严谨） #

利用sys.objects和sys.schemas系统视图关联查询，精准判断用户表（type='U'）是否存在，部分参数通过sp_executesql的参数传递，进一步降低注入风险：

DECLARE @TargetDBName NVARCHAR(100) = 'PRD_Inventory'
DECLARE @TargetSchema NVARCHAR(100) = 'usr'
DECLARE @TableName NVARCHAR(100) = 'TempUserData'
DECLARE @DropSQL NVARCHAR(MAX)

SET @DropSQL = N'USE ' + QUOTENAME(@TargetDBName) + ';
IF EXISTS (SELECT 1 FROM sys.objects o 
           JOIN sys.schemas s ON o.schema_id = s.schema_id
           WHERE s.name = @SchemaName AND o.name = @TableName AND o.type = ''U'')
DROP TABLE ' + QUOTENAME(@TargetDBName) + '.' + QUOTENAME(@TargetSchema) + '.' + QUOTENAME(@TableName)

-- 传递参数给动态SQL，避免直接拼接变量
EXEC sp_executesql @DropSQL, 
                   N'@SchemaName NVARCHAR(100), @TableName NVARCHAR(100)',
                   @SchemaName = @TargetSchema,
                   @TableName = @TableName

关键说明 #

• 不能直接在OBJECT_ID中使用@TargetDBName.@TargetSchema.TempUserData这种写法，SQL Server会将其视为字符串字面量而非变量解析。
• QUOTENAME是必须的：它能自动处理包含特殊字符（如My DB、Order）的对象名，同时避免SQL注入攻击。
• 若要将此逻辑封装到存储过程中，只需将@TargetDBName、@TargetSchema作为存储过程的参数即可。

内容的提问来源于stack exchange，提问作者Tech Learner