动态表名读取subjectname赋值变量时遇SQL语法错误（=附近语法不正确）

错误原因 #

1. 拼接缺失空格：@tablename和条件语句拼接时没有空格，生成的SQL会变成abc20212022WHERE [subjectid] = 202041962这类格式错误的语句，直接触发语法报错。
2. 参数处理不规范：subjectid是varchar类型，硬编码数值会导致隐式转换问题，同时硬编码参数存在SQL注入风险。

修正后的代码 #

DECLARE @retval varchar(200)   
DECLARE @sSQL nvarchar(500);
DECLARE @ParmDefinition nvarchar(500);
DECLARE @academicYear varchar(200) = '20212022';
DECLARE @subjectId varchar(200) = '202041962';

DECLARE @tablename nvarchar(50) = 'abc' + CAST(@academicYear As varchar)

-- 补全空格，同时用参数化替代硬编码条件
SELECT @sSQL = N'SELECT @retvalOUT = [subjectname] FROM ' + @tablename + N' WHERE [subjectid] = @subjectId';  
SET @ParmDefinition = N'@retvalOUT varchar(200) OUTPUT, @subjectId varchar(200)';

EXEC sp_executesql @sSQL, @ParmDefinition, @retvalOUT=@retval OUTPUT, @subjectId=@subjectId;

SELECT @retval;

关键改进点 #

• 在表名与WHERE子句之间添加空格，确保SQL语法结构合法。
• 将@subjectId作为参数传入sp_executesql，既避免SQL注入风险，又匹配字段的varchar类型。
• 明确指定输出参数的长度，避免潜在的字符串截断问题。

内容的提问来源于stack exchange，提问作者Usman Umer