如何使用单条SQL查询批量更新多条记录及动态语句单引号处理

原有写法的核心问题 #

• 单引号转义错误：SQL中字符串内部要表示一个单引号，必须写两个连续的单引号''，你现有写法里'ABC'直接嵌套在外层的字符串包裹符'中间，会直接截断动态SQL字符串，触发语法错误。
• 标识符传值错误：@table、@col1这类表名、列名属于标识符，不能通过sp_executesql的参数直接传递，必须提前拼接进动态SQL语句中。

正确写法示例 #

方案1：手动转义单引号（适合简单固定场景） #

-- 提前定义标识符变量
DECLARE @table SYSNAME = '实际表名'
DECLARE @col1 SYSNAME = '待更新列名'
DECLARE @col2 SYSNAME = '条件列名'
DECLARE @query NVARCHAR(MAX)

-- 字符串内部单引号用两个单引号转义，标识符用QUOTENAME包裹避免注入
SET @query = 'UPDATE ' + QUOTENAME(@table) + ' 
              SET ' + QUOTENAME(@col1) + ' = ''ABC'' WHERE ' + QUOTENAME(@col2) + ' = 552;
              UPDATE ' + QUOTENAME(@table) + ' 
              SET ' + QUOTENAME(@col1) + ' = ''BCA'' WHERE ' + QUOTENAME(@col2) + ' = 553;
              UPDATE ' + QUOTENAME(@table) + ' 
              SET ' + QUOTENAME(@col1) + ' = ''MBA'' WHERE ' + QUOTENAME(@col2) + ' = 554;'

EXEC sp_executesql @query

方案2：参数化传值（更推荐，无需手动转义，安全度高） #

所有业务值通过sp_executesql参数传递，哪怕值本身包含单引号也会自动处理，不需要手动加转义符，同时能避免SQL注入风险。

DECLARE @table SYSNAME = '实际表名'
DECLARE @col1 SYSNAME = '待更新列名'
DECLARE @col2 SYSNAME = '条件列名'
DECLARE @query NVARCHAR(MAX)

-- 动态SQL中仅提前拼接标识符，值留作参数占位
SET @query = 'UPDATE ' + QUOTENAME(@table) + ' SET ' + QUOTENAME(@col1) + ' = @val1 WHERE ' + QUOTENAME(@col2) + ' = @cond1;
              UPDATE ' + QUOTENAME(@table) + ' SET ' + QUOTENAME(@col1) + ' = @val2 WHERE ' + QUOTENAME(@col2) + ' = @cond2;
              UPDATE ' + QUOTENAME(@table) + ' SET ' + QUOTENAME(@col1) + ' = @val3 WHERE ' + QUOTENAME(@col2) + ' = @cond3;'

-- 执行时传入对应值参数即可
EXEC sp_executesql @query,
    N'@val1 VARCHAR(10), @cond1 INT, @val2 VARCHAR(10), @cond2 INT, @val3 VARCHAR(10), @cond3 INT',
    @val1 = 'ABC', @cond1 = 552,
    @val2 = 'BCA', @cond2 = 553,
    @val3 = 'MBA', @cond3 = 554

注意事项 #

• 所有动态拼接的表名、列名必须用QUOTENAME()函数包裹，会自动为标识符添加方括号，避免SQL关键字冲突和注入风险。
• 如果更新的批量数据量较大，建议把更新值和匹配条件存入临时表，通过UPDATE 表 JOIN 临时表 ON 条件 SET 列=值的写法批量更新，不需要写多条UPDATE语句，执行效率更高。

内容的提问来源于stack exchange，提问作者mINI