SQL Server使用表名变量创建临时表的问题咨询

你遇到的报错核心来自两个SQL Server的固有机制：

• 语法层面不支持直接在FROM/INTO等标识符位置使用变量代替表名、列名，变量仅能作为值传递。你写FROM @TableName时，解析器会默认把@TableName识别为表变量，自然会抛出未声明表变量的错误。
• 本地临时表（#前缀）的生命周期绑定到创建它的批处理，你在EXEC()执行的动态批内部创建的#temp，会在动态批执行结束后自动销毁，外部批无法访问。

SQL Server没有直接用变量传表名、动态声明表变量的原生语法，最稳妥的实现方式是把所有依赖动态表名的逻辑全部放到同一个动态SQL批中执行，完全规避跨批访问临时表的问题，同时做好SQL注入防护。

具体实现逻辑 #

1. 前置合法性校验：传入的表名必须先校验是否为真实存在的用户表，禁止直接拼接用户传入的任意字符串执行，从源头避免SQL注入。
2. 动态拼接全流程SQL：包含创建临时表、遍历字符串类型列做子串替换、最终返回结果的全部逻辑，在同一个sp_executesql调用中完成，不需要跨批访问临时表。
3. 特殊场景备选：如果确实有部分逻辑必须写在动态批外部，可以改用全局临时表（##前缀），注意给表名拼接当前会话ID做唯一后缀，避免多用户并发执行时的重名冲突。

参考实现代码 #

CREATE OR ALTER PROCEDURE dbo.ProcessTable_RemoveSubstring
    @TableName SYSNAME, -- 使用SQL Server内置的对象名类型，比varchar(max)适配性更好
    @SubstringToRemove NVARCHAR(1000) -- 需要移除的指定子串
AS
BEGIN
    SET NOCOUNT ON;
    -- 第一步：校验表合法性
    DECLARE @ValidTableID INT = OBJECT_ID(@TableName, 'U');
    IF @ValidTableID IS NULL
    BEGIN
        RAISERROR('传入的表名不存在或不是用户表', 16, 1);
        RETURN;
    END

    -- 第二步：动态生成所有字符串列的替换逻辑
    DECLARE @ColumnReplaceSQL NVARCHAR(MAX) = N'';
    SELECT @ColumnReplaceSQL = @ColumnReplaceSQL + 
        N'[' + c.name + N'] = REPLACE(CAST([' + c.name + N'] AS NVARCHAR(MAX)), @ReplaceStr, N''),'
    FROM sys.columns c
    WHERE c.object_id = @ValidTableID
      -- 覆盖varchar/char/nvarchar/nchar/text/ntext所有字符串类型
      AND c.system_type_id IN (167,175,231,239,35,99)
      AND c.max_length > 0;

    -- 移除拼接末尾多余的逗号，无字符串列时直接返回原表数据
    IF LEN(@ColumnReplaceSQL) > 0
        SET @ColumnReplaceSQL = LEFT(@ColumnReplaceSQL, LEN(@ColumnReplaceSQL)-1);
    ELSE
        SET @ColumnReplaceSQL = N'*';

    -- 第三步：拼接全逻辑动态SQL
    DECLARE @FinalSQL NVARCHAR(MAX) = N'
        SELECT * INTO #processed_temp FROM ' + QUOTENAME(@TableName) + N';
        UPDATE #processed_temp SET ' + @ColumnReplaceSQL + N';
        SELECT * FROM #processed_temp;
    ';

    -- 执行动态SQL，替换子串通过参数传入，避免值拼接带来的注入风险
    EXEC sp_executesql @FinalSQL, N'@ReplaceStr NVARCHAR(1000)', @ReplaceStr = @SubstringToRemove;
END
GO

跨批访问临时表的备选方案（非必要不推荐） #

如果确实需要拆分逻辑到动态批外部，可以使用全局临时表实现，注意加唯一标识避免并发冲突：

DECLARE @TableName SYSNAME = N'xxxxxx';
-- 用当前会话ID拼接全局临时表名，保证多用户执行时不会重名
DECLARE @GlobalTempName SYSNAME = N'##temp_' + CAST(@@@SPID AS VARCHAR(10));
DECLARE @SQL NVARCHAR(MAX) = N'SELECT * INTO ' + QUOTENAME(@GlobalTempName) + N' FROM ' + QUOTENAME(@TableName);
EXEC(@SQL);
-- 外部批可以正常访问全局临时表
SELECT * FROM @GlobalTempName;
-- 用完必须手动删除，避免残留
EXEC('DROP TABLE ' + QUOTENAME(@GlobalTempName));

• 拼接表名、列名时必须用QUOTENAME()函数包裹，自动处理特殊字符转义，配合前置的表存在性校验，基本可以杜绝SQL注入风险。
• 全局临时表对所有会话可见，高并发场景下如果不做唯一后缀处理，很容易出现重名覆盖、数据错乱问题，优先选择同批执行动态SQL的方案。

内容的提问来源于stack exchange，提问作者Diego Campos Vaz dos Santos