PostgreSQL中如何向$$包裹的字符串内传入函数参数？

你通过$q1$自定义美元符包裹的内容是独立的字符串常量，执行阶段不会解析替换PL/pgSQL代码块内的函数参数、局部变量，因此字符串内写的arg只会被识别为普通SQL文本，不会绑定传入的函数实参。

优先使用EXECUTE ... USING语法传递参数，不需要手动拼接字符串，既能避免SQL注入风险，也无需额外处理特殊字符转义，执行性能更高。

• 动态SQL字符串内用$1、$2……按顺序作为参数占位符
• EXECUTE语句后加USING子句，按占位符顺序传入对应的函数参数、局部变量即可

修正后的可运行示例代码如下（顺便修正了原代码里FUCNTION的拼写错误，补全了返回逻辑）：

CREATE OR REPLACE FUNCTION example(arg int)
RETURNS SETOF int4
LANGUAGE plpgsql
AS $$
DECLARE
    somequery text;
BEGIN
    -- 动态SQL内用$1作为第一个参数的占位符
    somequery := $q1$ SELECT field * $1 FROM randomtable $q1$;
    -- USING后按顺序传入实参，绑定到对应占位符
    RETURN QUERY EXECUTE somequery USING arg;
END
$$;

如果动态SQL里需要动态传入表名、字段名这类标识符，不能用USING传参，可以搭配format()函数处理：

• 用%I作为标识符占位符，会自动处理标识符的转义、加引号逻辑
• 用%L作为字面值占位符，会自动处理字符串、数值的转义
  示例：

-- 假设需要动态传入表名和乘数参数
somequery := format(
    $q1$ SELECT field * %L FROM %I $q1$,
    arg, -- 传给%L，作为乘数字面值
    'randomtable' -- 传给%I，作为表名标识符
);

注意：不要直接用字符串拼接的方式把参数拼到SQL里，比如写'SELECT field*' || arg这种逻辑，这种写法存在SQL注入风险，遇到特殊字符、空值时还容易触发语法错误，不推荐使用。

内容的提问来源于stack exchange，提问作者Vlad Vlad