如何在存储过程中将字符串参数转换为列名

当存储过程中需要把传入的字符串参数作为列名使用时，静态SQL无法实现——因为静态SQL会把参数当成普通字符串值处理，而非表/列标识符。这种场景必须用动态SQL来实现，下面分主流数据库给出具体实现方式：

一、SQL Server 实现方式 #

核心是用QUOTENAME()函数给列名/表名添加方括号（符合SQL Server的标识符格式），同时通过sp_executesql执行参数化的动态SQL，避免注入风险。

示例：根据传入列名查询数据 #

CREATE PROCEDURE GetTargetColumn
    @TableName VARCHAR(100),
    @ColumnName VARCHAR(100),
    @ID INT -- 主键值，用于定位行
AS
BEGIN
    -- 第一步：校验传入的列名是否真的存在于目标表（必须做，防注入+避免无效执行）
    IF NOT EXISTS (
        SELECT 1 FROM INFORMATION_SCHEMA.COLUMNS 
        WHERE TABLE_NAME = @TableName AND COLUMN_NAME = @ColumnName
    )
    BEGIN
        RAISERROR('指定列名不存在于目标表', 16, 1)
        RETURN
    END

    -- 第二步：构建动态SQL语句，用QUOTENAME包裹标识符
    DECLARE @DynamicSQL NVARCHAR(MAX)
    SET @DynamicSQL = N'SELECT ' + QUOTENAME(@ColumnName) + N' FROM ' + QUOTENAME(@TableName) + N' WHERE ID = @PKID'

    -- 第三步：执行动态SQL，传入参数化的主键值
    EXEC sp_executesql @DynamicSQL, N'@PKID INT', @PKID = @ID
END

示例：根据传入列名更新数据 #

CREATE PROCEDURE UpdateTargetColumn
    @TableName VARCHAR(100),
    @ColumnName VARCHAR(100),
    @NewValue VARCHAR(200),
    @ID INT
AS
BEGIN
    -- 同样先校验列名合法性
    IF NOT EXISTS (
        SELECT 1 FROM INFORMATION_SCHEMA.COLUMNS 
        WHERE TABLE_NAME = @TableName AND COLUMN_NAME = @ColumnName
    )
    BEGIN
        RAISERROR('指定列名不存在于目标表', 16, 1)
        RETURN
    END

    DECLARE @DynamicSQL NVARCHAR(MAX)
    SET @DynamicSQL = N'UPDATE ' + QUOTENAME(@TableName) + N' SET ' + QUOTENAME(@ColumnName) + N' = @NewVal WHERE ID = @PKID'

    EXEC sp_executesql @DynamicSQL, N'@NewVal VARCHAR(200), @PKID INT', @NewVal = @NewValue, @PKID = @ID
END

二、MySQL 实现方式 #

MySQL用反引号（`）包裹标识符，通过预处理语句（PREPARE/EXECUTE）执行动态SQL，同样要先校验列名合法性。

示例：根据传入列名查询数据 #

DELIMITER //
CREATE PROCEDURE GetTargetColumn(
    IN tableName VARCHAR(100),
    IN columnName VARCHAR(100),
    IN id INT
)
BEGIN
    -- 校验列名是否存在
    IF NOT EXISTS (
        SELECT 1 FROM INFORMATION_SCHEMA.COLUMNS 
        WHERE TABLE_SCHEMA = DATABASE() AND TABLE_NAME = tableName AND COLUMN_NAME = columnName
    ) THEN
        SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '指定列名不存在于目标表';
        LEAVE;
    END IF;

    -- 构建动态SQL，用反引号包裹标识符
    SET @dynamicSql = CONCAT('SELECT `', columnName, '` FROM `', tableName, '` WHERE ID = ?');
    
    -- 预处理并执行语句
    PREPARE stmt FROM @dynamicSql;
    SET @pkId = id;
    EXECUTE stmt USING @pkId;
    DEALLOCATE PREPARE stmt;
END //
DELIMITER ;

关键注意事项 #

• 必须防SQL注入：绝对不能直接拼接未处理的参数到SQL字符串里，一定要用数据库提供的标识符转义方式（SQL Server的QUOTENAME、MySQL的反引号），同时校验列名是否存在于目标表，这是最有效的防护手段。
• 值参数化：除了表名、列名这类标识符，其他业务值（比如更新的新值、主键值）必须用参数化传递，不要拼进SQL字符串。
• 权限控制：确保执行存储过程的数据库账号只有必要的操作权限，避免因注入导致更大损失。

内容的提问来源于stack exchange，提问作者dolphin kens