如何在Azure Data Factory的SQL查询中拼接管道参数

首先明确核心规则：ADF 只会解析直接写在活动配置面板里的表达式，不会自动解析从数据库等外部存储拉取的字符串内部的pipeline()表达式，所以不能直接把表中存的SQL里的硬编码姓名替换成ADF参数表达式存表，否则执行时会把表达式当普通SQL文本处理，直接报语法错误。

你可以选以下两种适配当前场景的方案：

• 方案1：占位符替换（兼容所有数据库类型，最通用）

  1. 修改数据库表中存储的SQL，用不会和业务SQL冲突的特殊占位符替换硬编码的姓名值，示例：

  SELECT * FROM employees WHERE first_name = '<<FNAME>>' AND last_name = '<<LNAME>>'
  

  2. 管道里先加一个查找活动，读取表中存储的这条SQL文本，拿到查询字符串。
  3. 在后续复制数据活动的「源-自定义查询」配置框中，写ADF表达式做占位符替换，自动把占位符换成管道参数值，表达式示例：

  @replace(
      replace(
          activity('读取表存SQL的查找活动名').output.firstRow.存储SQL内容的字段名,
          '<<FNAME>>',
          replace(pipeline().parameters.fname, '''', '''''')
      ),
      '<<LNAME>>',
      replace(pipeline().parameters.lname, '''', '''''')
  )
  

  注意：表达式里对参数做了单引号转义处理，避免参数值带单引号（比如O'Neil这类姓名）时触发SQL语法错误，也能降低SQL注入风险。

• 方案2：用复制活动原生参数化查询（性能更好，防注入能力更强）

  1. 修改数据库表中存储的SQL，按照你所用数据库的参数化语法写占位符，不要加单引号，不同数据库占位符规则：
  • SQL Server/Azure SQL：@参数名
  • MySQL：?（按参数顺序匹配）
  • PostgreSQL：%参数名%
    以SQL Server为例，存表的SQL写为：

  SELECT * FROM employees WHERE first_name = @InputFName AND last_name = @InputLName
  

  2. 同样先用查找活动拉取表中存储的SQL文本，填入复制数据活动的「源-自定义查询」框中。
  3. 点开复制活动源配置里的「查询参数」面板，新增两个参数：
  • 参数名填@InputFName，值选择管道参数pipeline().parameters.fname
  • 参数名填@InputLName，值选择管道参数pipeline().parameters.lname
    这种方式由数据库驱动做参数绑定，不需要自己处理单引号转义，也完全避免SQL注入问题，只是需要对应你用的数据源调整占位符格式。

常见避坑 #

不要直接把表中存的SQL写成如下形式，这种写法完全无效：

-- 错误写法：ADF不会解析拉取到的字符串内部的pipeline()表达式
Select * from employees where first_name = '@pipeline().parameters.fname' and last_name = '@pipeline().parameters.lname'

内容的提问来源于stack exchange，提问作者Adam