如何创建支持动态参数的SQL可复用查询（多项目ID统计场景）

这个需求太接地气了——谁不想把重复写的复杂SQL打包成可复用的工具呢？既能减少重复劳动，还能避免手滑写错逻辑。下面我针对主流的几种数据库，给你整理了不同的实现方案，你可以根据自己的环境选：

MySQL/MariaDB 实现 #

方案一：存储过程（最灵活，支持ID列表和子查询） #

MySQL里用存储过程配合动态SQL是最直接的方式，能轻松处理传入的ID列表或者子查询：

DELIMITER //
CREATE PROCEDURE CountProjectIssues(IN projectIdsQuery VARCHAR(1000))
BEGIN
    -- 拼接动态SQL语句
    SET @sql = CONCAT('SELECT COUNT(*) AS issue_count FROM issues WHERE project_id IN (', projectIdsQuery, ')');
    -- 预处理并执行
    PREPARE stmt FROM @sql;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END //
DELIMITER ;

使用起来也很简单：

• 传入具体ID列表：CALL CountProjectIssues('2,64,77');
• 传入子查询：CALL CountProjectIssues('SELECT id FROM projects WHERE name LIKE \'%qwerty%\'');

注意点 #

如果参数来自用户输入，一定要警惕SQL注入风险，尽量避免直接拼接不可信的内容。

PostgreSQL 实现 #

PostgreSQL的函数支持数组参数，也能很好地处理动态场景：

方案一：数组参数的函数 #

这种方式更符合PostgreSQL的风格，支持传入数组或者把查询结果转成数组传入：

CREATE OR REPLACE FUNCTION count_project_issues(p_project_ids INT[])
RETURNS INT AS $$
BEGIN
    RETURN (SELECT COUNT(*) FROM issues WHERE project_id = ANY(p_project_ids));
END;
$$ LANGUAGE plpgsql;

使用方式：

• 传入固定ID数组：SELECT count_project_issues(ARRAY[2,64,77]);
• 传入子查询结果：SELECT count_project_issues(ARRAY(SELECT id FROM projects WHERE name LIKE '%qwerty%'));

方案二：存储过程（PostgreSQL 11+支持） #

如果更习惯用存储过程，也可以写动态SQL版本：

CREATE OR REPLACE PROCEDURE count_project_issues_proc(p_project_ids_query TEXT)
LANGUAGE plpgsql
AS $$
BEGIN
    EXECUTE format('SELECT COUNT(*) AS issue_count FROM issues WHERE project_id IN (%s)', p_project_ids_query);
END;
$$;

调用时注意转义单引号：CALL count_project_issues_proc('SELECT id FROM projects WHERE name LIKE ''%qwerty%''');

SQL Server 实现 #

SQL Server可以用自定义表类型配合函数，或者存储过程：

方案一：带表参数的函数 #

首先需要定义一个用来传递ID列表的表类型：

CREATE TYPE dbo.IntList AS TABLE (Value INT);

然后创建函数：

CREATE FUNCTION dbo.CountProjectIssues(@projectIds AS dbo.IntList READONLY)
RETURNS INT
AS
BEGIN
    RETURN (SELECT COUNT(*) FROM issues i JOIN @projectIds p ON i.project_id = p.Value);
END;

使用方式：

• 传入固定ID：

DECLARE @ids dbo.IntList;
INSERT INTO @ids VALUES (2), (64), (77);
SELECT dbo.CountProjectIssues(@ids);

• 传入子查询结果：

DECLARE @ids dbo.IntList;
INSERT INTO @ids SELECT id FROM projects WHERE name LIKE '%qwerty%';
SELECT dbo.CountProjectIssues(@ids);

方案二：动态SQL存储过程 #

如果需要更灵活的动态逻辑，存储过程也是不错的选择：

CREATE PROCEDURE dbo.CountProjectIssuesProc
    @projectIdsQuery NVARCHAR(MAX)
AS
BEGIN
    DECLARE @sql NVARCHAR(MAX) = N'SELECT COUNT(*) AS issue_count FROM issues WHERE project_id IN (' + @projectIdsQuery + N')';
    EXEC sp_executesql @sql;
END;

调用：EXEC dbo.CountProjectIssuesProc N'SELECT id FROM projects WHERE name LIKE ''%qwerty%''';

通用注意事项 #

• 性能优化：确保issues表的project_id字段有索引，不然数据量大的时候统计会很慢。
• SQL注入防护：如果参数来自外部输入，一定要用参数化查询或者数据库提供的安全拼接方式（比如SQL Server的sp_executesql、PostgreSQL的format），避免直接拼接字符串。
• 复杂逻辑适配：如果你的实际SQL涉及多表关联、复杂过滤条件，存储过程通常比函数更合适，因为函数在部分数据库中对复杂逻辑的支持有限。

内容的提问来源于stack exchange，提问作者Rafał Pydyniak