MySQL创建动态排序存储过程报1064语法错误无法定位

• 所有字符串包裹使用了中文全角单引号‘’，MySQL仅支持半角英文单引号'作为字符串边界符，全角符号会被直接判定为非法字符。
• 存储过程块结构不匹配：BEGIN仅需要对应一个结束END，你的代码在DEALLOCATE PREPARE runSQL;后多写了一个冗余END，和最后收尾的END $$重复，导致语法解析失败。
• 排序子句拼接缺少空格：原代码拼接排序逻辑时没有在字段名和排序参数之间加空格，会生成ORDER BY 列名ASC这类错误格式，列名和排序关键词粘在一起，即便过了语法检查，执行时也会报字段不存在错误。
• 无入参校验逻辑：直接拼接用户传入的参数生成动态SQL，存在SQL注入风险，传入非ASC/DESC的排序值时也会直接执行失败。

DELIMITER $$
CREATE PROCEDURE `PROCEDUREUNO` (IN field VARCHAR(100),IN ordenamiento CHAR(5))
BEGIN
    SET @clausula = 'SELECT * FROM Contrataciones';
    SET @orden = '';

    -- 强制校验排序方向合法值，避免非法参数报错
    IF ordenamiento NOT IN ('ASC','DESC') THEN
        SET ordenamiento = 'ASC';
    END IF;

    -- 字段名非空时拼接排序子句，注意字段和排序值之间补空格
    IF field <> '' THEN
        SET @orden = CONCAT(' ORDER BY ', field, ' ', ordenamiento);
    END IF;

    SET @clausula = CONCAT(@clausula, @orden);

    PREPARE runSQL FROM @clausula;
    EXECUTE runSQL;
    DEALLOCATE PREPARE runSQL;
END $$
DELIMITER ;

• 调用示例：CALL PROCEDUREUNO('id', 'DESC'); 即实现按id字段倒序查询Contrataciones表数据。
• 如果需要彻底规避字段参数的SQL注入风险，可以在拼接排序子句前，先查询information_schema.COLUMNS系统表，确认传入的field确实是Contrataciones表存在的字段，校验不通过就不拼接排序逻辑。

内容的提问来源于stack exchange，提问作者JN1997