使用sp_executesql创建数据库/表时触发Msg 102语法错误，求原因

嘿，这个坑我之前踩过也帮不少朋友出过主意——你遇到的错误核心原因很明确：SQL Server不允许直接用参数替换DDL（数据定义语言）语句里的对象名称，哪怕是用sp_executesql这种支持参数化的存储过程也不行。

为什么会报错？ #

sp_executesql的参数绑定功能是用来替换数据值的（比如SELECT * FROM Table WHERE ID = @id里的@id），但对于数据库名、表名这类对象标识符，SQL Server不会把参数当成要替换的内容，而是直接把@d当成语法的一部分解析，自然就会报"Incorrect syntax near '@d'"的错误。

正确的解决方法 #

你需要把对象名拼接进动态SQL字符串里，同时一定要用QUOTENAME()函数来处理对象名，避免SQL注入风险和特殊字符导致的语法问题：

1. 创建数据库的正确写法

DECLARE @d nvarchar(128) = N'a';
DECLARE @sql nvarchar(max) = N'CREATE DATABASE ' + QUOTENAME(@d);
EXEC sp_executesql @sql;

2. 创建表的正确写法

DECLARE @d nvarchar(128) = N'MyTable';
DECLARE @sql nvarchar(max) = N'CREATE TABLE ' + QUOTENAME(@d) + ' (ID INT PRIMARY KEY, Name NVARCHAR(50) NOT NULL)';
EXEC sp_executesql @sql;

为什么要用QUOTENAME()？ #

这个函数会把你的对象名转换成符合SQL Server规范的标识符格式（比如给名字加上方括号），如果对象名里包含空格、特殊字符，甚至是恶意注入内容（比如'; DROP DATABASE Test; --），QUOTENAME()都会把它转成安全的格式，彻底避免注入风险。

内容的提问来源于stack exchange，提问作者Yinon Dotan