SQL Server存储过程中无需拼接varchar的动态表名查询实现问询

SQL Server 原生不支持你期望的SELECT * FROM @table写法，原因是SQL引擎编译语句阶段必须明确所有对象标识，表名作为变量时无法完成对象校验和执行计划生成，因此没有原生语法支持该需求。

目前可选择的替代方案如下：

方案1：优化现有动态SQL写法（推荐） #

你当前的拼接写法存在SQL注入风险、特殊字符报错问题，可以通过校验+参数化优化，兼顾灵活性和安全性：

DECLARE @table SYSNAME = 'MyTabla'; -- SYSNAME是SQL Server专门用于存储对象名的类型，等价于NVARCHAR(128)
DECLARE @query NVARCHAR(MAX);

-- 先校验表是否为真实存在的用户表，避免非法表名注入
IF OBJECT_ID(@table, 'U') IS NOT NULL
BEGIN
    -- 用QUOTENAME包裹表名，避免特殊字符、保留字导致的语法错误
    SET @query = N'SELECT * FROM ' + QUOTENAME(@table) + N' WHERE id = @id';
    -- 参数化传递查询条件，不要直接拼接到SQL字符串里
    EXEC sp_executesql @query, N'@id INT', @id = 1;
END
ELSE
BEGIN
    RAISERROR('指定的查询表不存在', 16, 1);
END

方案2：硬编码分支判断（仅适合固定少量表场景） #

如果你的可选表数量极少且后续不会频繁新增，可以完全避免动态拼接：

DECLARE @table VARCHAR(20) = 'MyTabla';

IF @table = 'MyTabla'
    SELECT * FROM MyTabla WHERE id = 1;
ELSE IF @table = 'OtherTable'
    SELECT * FROM OtherTable WHERE id = 1;
-- 其余表逐个新增分支即可

该方案安全性最高，但扩展性极差，表数量超过3个就不推荐使用。

内容的提问来源于stack exchange，提问作者Caleb