如何通过Python将变量传入通用化的SQL存储过程？

你的思路完全没问题——把表名、时间参数做成变量传入是实现通用化的核心，PyODBC确实是Python对接SQL Server的合适工具，可能之前是参数化的方式没搞对，我给你一步步拆解：

1. 先在SQL Server里创建支持参数的存储过程 #

注意表名属于标识符，不能直接用普通参数绑定，得用动态SQL配合QUOTENAME函数防止注入，时间参数可以直接绑定：

CREATE PROCEDURE usp_GenericQuery
    @TableName NVARCHAR(128),
    @StartTime DATETIME,
    @EndTime DATETIME
AS
BEGIN
    SET NOCOUNT ON;
    -- 用QUOTENAME处理表名，避免SQL注入和标识符错误
    DECLARE @Sql NVARCHAR(MAX) = N'
        SELECT * 
        FROM ' + QUOTENAME(@TableName) + N'
        WHERE YourTimeColumn BETWEEN @Start AND @End;
    ';
    -- 执行动态SQL，绑定时间参数
    EXEC sp_executesql @Sql, 
        N'@Start DATETIME, @End DATETIME',
        @Start = @StartTime,
        @End = @EndTime;
END;

注意：把YourTimeColumn换成你实际的时间列名，如果每个表的时间列名也不一样，还可以再加一个@TimeColumnName参数，同样用QUOTENAME处理。

2. 用Python + PyODBC调用这个存储过程 #

这里关键是正确传递参数，不需要用sp_execute_external_scripts（那是用来在SQL里跑Python脚本的，逻辑反过来了），直接用PyODBC的存储过程调用方法：

首先确保你已经安装了PyODBC：

pip install pyodbc

然后写Python代码：

import pyodbc

def call_generic_procedure():
    # 获取用户输入
    table_name = input("Enter Table Name: ")
    start_time = input("Enter Start Time (YYYY-MM-DD HH:MM:SS): ")
    end_time = input("Enter End Time (YYYY-MM-DD HH:MM:SS): ")

    # 连接SQL Server（根据你的实际配置修改）
    conn_str = (
        "DRIVER={ODBC Driver 17 for SQL Server};"
        "SERVER=YourServerName;"
        "DATABASE=YourDatabaseName;"
        "UID=YourUsername;"
        "PWD=YourPassword;"
    )

    try:
        with pyodbc.connect(conn_str) as conn:
            with conn.cursor() as cursor:
                # 调用存储过程，传递参数
                cursor.execute("EXEC usp_GenericQuery @TableName=?, @StartTime=?, @EndTime=?",
                              table_name, start_time, end_time)
                
                # 获取结果（如果需要的话）
                rows = cursor.fetchall()
                for row in rows:
                    print(row)
        print("Stored procedure executed successfully!")
    except pyodbc.Error as e:
        print(f"Error occurred: {e}")

if __name__ == "__main__":
    call_generic_procedure()

3. 关键注意事项 #

• SQL注入防护：绝对不能直接拼接表名到SQL字符串里，一定要用QUOTENAME函数，它会自动给表名加上方括号，避免注入和标识符错误（比如表名有空格或特殊字符）。
• 时间格式：建议用户输入标准的YYYY-MM-DD HH:MM:SS格式，这样SQL Server能自动识别，如果你想更友好，可以在Python里用datetime模块做输入验证：

  from datetime import datetime
  try:
      start_time = datetime.strptime(input("Enter Start Time (YYYY-MM-DD HH:MM:SS): "), "%Y-%m-%d %H:%M:%S")
      end_time = datetime.strptime(input("Enter End Time (YYYY-MM-DD HH:MM:SS): "), "%Y-%m-%d %H:%M:%S")
  except ValueError:
      print("Invalid date format! Please use YYYY-MM-DD HH:MM:SS.")
      exit()
  

• 权限问题：确保你的SQL账号有执行存储过程和查询目标表的权限。

如果你不想创建存储过程，直接用Python动态生成SQL #

如果暂时不想创建存储过程，也可以在Python里动态生成安全的SQL语句，同样用QUOTENAME处理表名：

# 替换之前的cursor.execute部分
safe_table_name = f"QUOTENAME('{table_name}')"
# 注意这里用sp_executesql来绑定时间参数
cursor.execute("""
    DECLARE @Sql NVARCHAR(MAX) = N'SELECT * FROM ' + ? + N' WHERE YourTimeColumn BETWEEN @Start AND @End';
    EXEC sp_executesql @Sql, N'@Start DATETIME, @End DATETIME', @Start=?, @End=?;
""", safe_table_name, start_time, end_time)

内容的提问来源于stack exchange，提问作者JoshGoodnow