SSRS报表中SQL Server SELECT查询如何实现动态列选择

你直接用SELECT @ColumnName FROM Table2的写法跑不通是T-SQL的固有机制限制：普通变量只能存值，不能直接替换列名、表名这类语法标识符，你把逗号拼接的多列字符串传给变量，SQL只会把它当成单个字符串值返回，不会解析成要查询的列集合。

可行的实现方案是基于白名单校验的动态SQL，整套流程可以按下面的步骤落地，完全能满足用户自主选列的报表需求，也能规避SQL注入风险：

• 第一步：生成合法的可选列下拉选项
  你之前查sys.columns的思路是对的，这步本质是做列白名单，所有用户能选的列必须从这个结果里出，不要让用户自由输入列名。可以稍微调整下查询，适配后续拼接逻辑：

-- 替换成你实际业务的表名、表别名，查询结果直接作为报表参数的下拉选项数据源
SELECT 
    CONCAT('t.', name) AS OptionValue, -- t是后续查询时给表起的别名，多表关联时可以区分不同表的同名列
    name AS RawColumnName
FROM sys.columns
WHERE object_id = OBJECT_ID('Table2')

• 第二步：校验用户选中的列，过滤非法值
  不管你是把用户选中的列以逗号分隔字符串的形式传入，还是用表值参数传，都必须和白名单列做匹配，绝对不能直接把用户传入的内容拼进SQL。以存储过程入参@SelectedColumns NVARCHAR(MAX)（值类似'id,order_no,amount,create_time'）为例，校验逻辑如下：

DECLARE @ValidColumns NVARCHAR(MAX)
-- 拆分用户传入的列，和白名单匹配后重新拼接，QUOTENAME会自动给列名加方括号，处理特殊列名、关键字冲突问题
SELECT @ValidColumns = STRING_AGG(QUOTENAME(RawColumnName), ', ')
FROM STRING_SPLIT(TRIM(@SelectedColumns), ',') AS input
INNER JOIN (
    SELECT name AS RawColumnName
    FROM sys.columns
    WHERE object_id = OBJECT_ID('Table2')
) AS white_list ON TRIM(input.value) = white_list.RawColumnName

-- 没有匹配到合法列直接抛错，避免后续SQL执行异常
IF @ValidColumns IS NULL
BEGIN
    RAISERROR('选中的列不存在，请重新选择', 16, 1)
    RETURN
END

• 第三步：拼接并执行动态查询
  用sp_executesql执行拼接好的SQL，后续如果要加筛选条件、分页参数，也可以通过sp_executesql做参数化传递，进一步降低风险：

DECLARE @QuerySQL NVARCHAR(MAX)
SET @QuerySQL = N'
SELECT ' + @ValidColumns + N'
FROM Table2 t
-- 按需加WHERE筛选、ORDER BY排序、分页等逻辑即可
'

EXEC sp_executesql @QuerySQL

注意事项 #

1. 白名单校验是必做项，哪怕是内部使用的系统，也不要跳过这步直接拼接用户输入，既防恶意注入，也能避免用户输错列名导致的查询报错。
2. 多表关联查询的场景下，取可选列时要给不同表的列加上对应别名，校验时也要按表区分，避免同名列冲突。
3. 如果需要支持用户自定义列的显示名称，可以在白名单里提前维护好列对应的展示别名，拼接SQL时加上AS [列显示名]即可。
4. 如果你是用第三方报表工具（比如SSRS、帆软、Power BI）做开发，大部分工具自带的参数功能就能直接对接这套逻辑，不需要额外做二次开发。

内容的提问来源于stack exchange，提问作者AlexanderK