如何在SQL存储过程中通过参数值指定要操作的数据库和表

核心原因 #

你原来的写法无法运行是因为T-SQL中，数据库名、表名、字段名这类标识符不支持直接用变量/参数替换，必须通过动态拼接SQL的方式执行。

正确实现代码 #

create procedure MyProc
  @database varchar(100),
  @table varchar(100),
  -- 下方为待插入的数值参数，可根据实际业务调整
  @col1Value int,
  @col2Value varchar(200)
as
begin
  SET QUOTED_IDENTIFIER ON;
  DECLARE @sql NVARCHAR(MAX);
  
  -- 用QUOTENAME包裹标识符参数，自动处理转义，防范SQL注入
  SET @sql = N'INSERT INTO ' + QUOTENAME(@database) + N'.dbo.' + QUOTENAME(@table) 
           + N' (col1, col2) VALUES (@p1, @p2);'
  
  -- 用sp_executesql执行动态SQL，参数化传入插入值，避免注入和转义问题
  EXEC sp_executesql @sql,
    N'@p1 int, @p2 varchar(200)',
    @p1 = @col1Value,
    @p2 = @col2Value;
end

关键注意事项 #

• 必须用QUOTENAME()函数包裹数据库名、表名参数：它会自动给标识符加方括号，同时转义名称中包含的特殊字符（比如空格、自带的方括号等），是防范SQL注入的核心手段
• 要插入的具体数值不要直接拼到SQL字符串里，通过sp_executesql的参数化方式传入，既避免注入风险，也不需要单独处理单引号转义问题
• 如果需要适配不同表的不同字段结构，可以在C#侧拼接字段列表时做合法性校验，避免传入恶意内容

更安全的备选方案 #

如果用到的库和表数量有限、可枚举，可以直接在存储过程里做分支判断，完全避免动态SQL，安全性更高：

create procedure MyProc
  @database varchar(100),
  @table varchar(100),
  @col1Value int,
  @col2Value varchar(200)
as
begin
  IF @database = 'DB1' AND @table = 'TableA'
    INSERT INTO DB1.dbo.TableA (col1,col2) VALUES (@col1Value, @col2Value)
  ELSE IF @database = 'DB1' AND @table = 'TableB'
    INSERT INTO DB1.dbo.TableB (col1,col2) VALUES (@col1Value, @col2Value)
  -- 其余合法场景依次补充分支
  ELSE
    THROW 50001, N'传入的数据库或表名不合法', 1;
end

内容的提问来源于stack exchange，提问作者ruttergod