能否将表名传入存储过程？附运行失败的存储过程代码求助

嘿，我看到你在尝试把表名作为参数传入存储过程时碰了壁——这确实是个新手常踩的坑，因为SQL Server的静态SQL没办法直接用变量来替换表名这类数据库对象名。咱们来拆解你的问题，一步步修复代码：

原代码的核心问题 #

1. 参数类型错误：你把@tablename定义成了table类型，这是用来传递表值参数（也就是一整表的数据）的，而不是用来传表名的字符串。表名参数应该用NVarchar或Varchar类型，长度建议设为128（SQL Server标识符的最大长度）。
2. 静态SQL不支持变量表名：UPDATE和TRUNCATE语句里直接写@tablename是无效的，SQL Server会把它当成一个表变量名，而不是你传入的实际表名，必须用动态SQL来拼接并执行这些语句。
3. 潜在的SQL注入风险：直接拼接表名到SQL语句里会有注入风险，必须用QUOTENAME()函数来转义表名，确保安全性。

修复后的存储过程代码 #

ALTER PROCEDURE [dbo].[STT_Card_Entry_Temp_Write]
    @CARD_NO AS VARCHAR(20),
    @tablename AS NVARCHAR(128) -- 修改为字符串类型
AS
BEGIN
    SET NOCOUNT ON; -- 避免返回额外的计数信息

    -- 声明动态SQL变量
    DECLARE @sql NVARCHAR(MAX);

    -- 拼接UPDATE的动态SQL，用QUOTENAME处理表名防止注入
    SET @sql = N'
        UPDATE live.scheme.sttakedm
        SET adjustment_quantit = (TM.expected_quantity - TM.counted) * -1,
            take_sign = CASE LEFT((TM.expected_quantity - TM.counted), 1)
                            WHEN ''-'' THEN ''+''
                            ELSE ''-''
                        END,
            status = ''''
        FROM live.scheme.sttakedm (NOLOCK) stt
        INNER JOIN ' + QUOTENAME(@tablename) + N' TM (NOLOCK)
            ON TM.card_number = @CARD_NO
            AND TM.sequence_number = stt.sequence_number COLLATE database_default
            AND TM.product_code = stt.product_code COLLATE database_default
            AND stt.kind = ''B''
    ';

    -- 执行动态UPDATE语句，传入@CARD_NO参数
    EXEC sp_executesql @sql, N'@CARD_NO VARCHAR(20)', @CARD_NO = @CARD_NO;

    -- 拼接TRUNCATE的动态SQL
    SET @sql = N'TRUNCATE TABLE ' + QUOTENAME(@tablename);
    EXEC sp_executesql @sql;
END

关键细节说明 #

• QUOTENAME()的作用：它会给表名加上方括号（如果是特殊字符或保留字的话），比如传入MyTable会变成[MyTable]，传入Table-Name会变成[Table-Name]，既保证SQL语法正确，又能防止SQL注入。
• sp_executesql的使用：这是执行动态SQL的推荐方式，它支持参数化查询，像@CARD_NO这样的参数可以直接传递，避免了拼接字符串带来的注入风险。
• SET NOCOUNT ON：加上这个可以防止存储过程返回诸如“(X行受影响)”的额外信息，让返回结果更干净。
• 关于NOLOCK：虽然你用了NOLOCK提示，但要注意它会带来脏读、不可重复读等问题，只有在对数据一致性要求极低的场景下才建议使用。

调用示例 #

你可以这样调用这个存储过程：

EXEC [dbo].[STT_Card_Entry_Temp_Write] @CARD_NO = '123456', @tablename = 'YourTempTable';

内容的提问来源于stack exchange，提问作者Sam Towle