执行存储过程时参数前缀异常及SQL报错问题咨询

这个问题我之前也碰到过，核心是动态SQL拼接参数时的引号处理和参数化问题，咱们一步步拆解：

1. 为啥会报"Invalid column name"错误？ #

看你存储过程里的动态SQL拼接部分：

SET @query = 'SELECT RollNo,FirstName,LastName, ' + dbo.fn_convert_cols(@cols) + ' from ( select S.RollNo,U.FirstName,U.LastName, D.startdate, convert(CHAR(6), startdate, 106) PivotDate from #tempDates D,Attendance A, Student S, UserDetails U where convert(CHAR(6), D.startdate, 106) = convert(CHAR(6), A.Date, 106) and A.EnrollmentNo=S.EnrollmentNo and A.EnrollmentNo=U.userID and A.CourseCode=' + @coursecode + ' and A.SubjectCode =' + @subjectcode + ' ) x pivot ( count(startdate) for PivotDate in (' + @cols + ') ) p '

这里拼接@coursecode和@subjectcode的时候没给参数加单引号！比如当你传BSCCS时，拼接后的SQL会变成A.CourseCode=BSCCS——数据库会把BSCCS当成列名，而不是你要匹配的字符串值，自然就报“无效列名”的错误了。

而GUI工具自动生成的N'''BSCCS'''，实际是SQL里的转义写法：三个单引号中，中间两个会被转义成一个，所以最终赋值给@coursecode的是'BSCCS'，拼接后SQL就变成A.CourseCode='BSCCS'，这才是正确的字符串比较，所以不会报错。

2. GUI自动加N''前缀是啥意思？ #

N前缀表示这个字符串是Unicode（NVARCHAR类型），像SSMS这类GUI工具在生成执行语句时，会自动给字符串参数加上N前缀，同时用双单引号转义来保留字符串里的单引号，所以就出现了N'''BSCCS'''这种看起来奇怪的写法，本质是为了正确传递带单引号的字符串参数。

3. 正确解决办法：用参数化动态SQL（强烈推荐） #

直接拼接参数不仅容易出语法错误，还会有SQL注入风险！最安全可靠的方式是把动态SQL改成参数化形式，用sp_executesql来传递参数：

修改存储过程里的动态SQL部分：

SET @query = 'SELECT RollNo,FirstName,LastName, ' + dbo.fn_convert_cols(@cols) + ' 
from ( 
    select S.RollNo,U.FirstName,U.LastName, D.startdate, convert(CHAR(6), startdate, 106) PivotDate 
    from #tempDates D,Attendance A, Student S, UserDetails U 
    where convert(CHAR(6), D.startdate, 106) = convert(CHAR(6), A.Date, 106) 
        and A.EnrollmentNo=S.EnrollmentNo 
        and A.EnrollmentNo=U.userID 
        and A.CourseCode=@coursecodeParam 
        and A.SubjectCode =@subjectcodeParam 
) x 
pivot ( 
    count(startdate) for PivotDate in (' + @cols + ') 
) p '

-- 使用sp_executesql传递参数，避免拼接风险
EXECUTE sp_executesql @query, 
    N'@coursecodeParam varchar(10), @subjectcodeParam varchar(10)',
    @coursecodeParam = @coursecode,
    @subjectcodeParam = @subjectcode;

这样改完后，你的C#代码完全不用动，直接传BSCCS这类字符串参数就行——既解决了语法错误，又彻底杜绝了SQL注入的可能。

临时应急方案（不推荐）：手动加单引号转义 #

如果暂时不想改参数化，也可以在拼接时给参数手动加单引号（用双单引号转义）：

and A.CourseCode=''' + @coursecode + ''' and A.SubjectCode =''' + @subjectcode + '''

拼接后会变成A.CourseCode='BSCCS'，也能解决报错，但这种方式有SQL注入风险，比如如果参数里传入恶意代码，会直接执行，所以只建议临时用用，最终还是要改成参数化写法。

4. 你的C#代码没问题 #

你的C#代码是标准的存储过程传参写法，完全正确，问题出在存储过程内部的动态SQL拼接逻辑，修改存储过程后就能正常运行了。

内容的提问来源于stack exchange，提问作者Suyash Gupta