SQL Server存储过程TOP N参数拼接报转换错误，求助解决

这个错误的根源很明确：你在拼接动态SQL的时候，直接把INT类型的@numberOfStaffs和VARCHAR字符串拼在了一起。SQL Server会尝试把左边的字符串转换成INT来执行加法操作，这就触发了类型转换失败的报错。

快速修复方案 #

把@numberOfStaffs转换成VARCHAR类型后再拼接，用CAST或者CONVERT函数都可以：

ALTER PROCEDURE [dbo].[StaffQueue] 
    @Staff_Dept VARCHAR(100), 
    @numberOfStaffs INT 
AS 
BEGIN 
    DECLARE @SQL VARCHAR(1000) 
    -- 将INT类型的参数转为VARCHAR再拼接
    SET @SQL = 'select top ('+ CAST(@numberOfStaffs AS VARCHAR(10)) +') Display_Name as StaffName,e.Emp_code as StaffCode from Employee e' 
    IF @Staff_Dept > '' 
        SET @SQL = @SQL + ' where e.Designation IN ('''+@Staff_Dept+''')'; 
    EXEC(@SQL); 
END

更安全的优化方案（避免SQL注入） #

你当前的动态SQL写法存在SQL注入风险，如果@Staff_Dept被传入恶意内容（比如'); DROP TABLE Employee; --），会导致严重的数据库安全问题。推荐使用sp_executesql来实现参数化的动态查询，既解决类型问题，又提升安全性：

ALTER PROCEDURE [dbo].[StaffQueue] 
    @Staff_Dept VARCHAR(100), 
    @numberOfStaffs INT 
AS 
BEGIN 
    DECLARE @SQL NVARCHAR(1000) 
    -- 直接在SQL语句中使用参数占位符
    SET @SQL = N'select top (@TopNum) Display_Name as StaffName,e.Emp_code as StaffCode from Employee e' 
    IF @Staff_Dept > '' 
        SET @SQL = @SQL + N' where e.Designation = @Dept';
        -- 注意：如果@Staff_Dept是多个逗号分隔的部门值，这里的IN写法需要额外处理，当前假设是单个部门值
    -- 用sp_executesql传递参数
    EXEC sp_executesql @SQL, 
        N'@TopNum INT, @Dept VARCHAR(100)', 
        @TopNum = @numberOfStaffs, 
        @Dept = @Staff_Dept; 
END

补充说明 #

如果你的@Staff_Dept参数是用来传递多个逗号分隔的部门值（比如'DeptA,DeptB'），当前的IN ('''+@Staff_Dept+''')写法是无效的，因为它会被解析成单个字符串值。这种情况需要用字符串拆分函数（比如STRING_SPLIT，适用于SQL Server 2016及以上版本）来处理，或者调整参数传递方式。

内容的提问来源于stack exchange，提问作者Haji