如何在PostgreSQL存储过程中使用动态表、列名删除数据行

你的需求是通过存储过程动态指定表名、列名和待删除值来删数据，不过你给出的示例代码存在关键错误：delete_word是要匹配的字符串值，却用了处理标识符的quote_ident()函数，这会导致语法错误或者匹配逻辑出错。下面是正确的实现方式：

方法1：使用字符串转义函数（兼容旧版本PostgreSQL） #

用quote_ident()处理表名和列名（避免标识符注入），用quote_literal()处理字符串值（正确转义单引号等特殊字符）：

CREATE OR REPLACE PROCEDURE delete_row(tablename VARCHAR(255), columnname VARCHAR(255), delete_word VARCHAR(255))
LANGUAGE plpgsql
AS $$
BEGIN
    EXECUTE 'DELETE FROM ' || quote_ident(tablename) 
            || ' WHERE ' || quote_ident(columnname) 
            || ' = ' || quote_literal(delete_word);
END $$;

-- 调用示例
CALL delete_row('sales_2019','orderid', 'Order ID');

方法2：使用参数化查询（更安全推荐） #

PostgreSQL的EXECUTE支持USING子句绑定参数，无需手动转义，能彻底避免SQL注入风险，是更优的写法：

CREATE OR REPLACE PROCEDURE delete_row(tablename VARCHAR(255), columnname VARCHAR(255), delete_word VARCHAR(255))
LANGUAGE plpgsql
AS $$
BEGIN
    EXECUTE format('DELETE FROM %I WHERE %I = $1', tablename, columnname)
    USING delete_word;
END $$;

-- 调用示例
CALL delete_row('sales_2019','orderid', 'Order ID');

这里用format()函数的%I占位符自动处理标识符转义，$1对应USING子句里的参数，既简洁又安全。

关键注意点 #

• 表名、列名这类标识符必须用quote_ident()或format(%I)处理，防止包含特殊字符或SQL注入
• 字符串、数值这类值不能用quote_ident()，要用参数绑定或quote_literal()处理转义
• 优先使用参数化查询（方法2），这是PostgreSQL动态SQL的最佳实践

内容的提问来源于stack exchange，提问作者Chris