如何在SQL查询中使用参数替代字段名？

你原来写的代码之所以没达到预期效果，是因为SQL Server会把@Thecode当成普通字符串来返回，而不是把它解析成你想要查询的字段名。要实现用参数动态指定字段的需求，得靠动态SQL来搞定。

基础实现方案 #

我们可以用sp_executesql（比直接用EXEC更安全高效，是官方推荐的方式）来拼接并执行动态生成的SQL语句，看下面的示例：

DECLARE @Thecode VARCHAR(10)
SET @Thecode = 'code' -- 这里传入你要查询的字段名

-- 拼接动态SQL语句
DECLARE @SQL NVARCHAR(MAX)
SET @SQL = N'SELECT ' + QUOTENAME(@Thecode) + N' FROM sqltable'

-- 执行动态SQL
EXEC sp_executesql @SQL

重点细节提醒 #

• 一定要用QUOTENAME()函数：它会自动给字段名加上方括号，既能处理字段名包含特殊字符或者是SQL关键字的情况，还能大幅降低SQL注入的风险。
• 为什么选sp_executesql：它可以重用执行计划，而且支持参数化查询，比EXEC的性能更好，安全性也更高。

带过滤条件的进阶示例 #

如果你的查询还需要加条件过滤，也可以用sp_executesql来实现参数化的过滤，避免硬编码值：

DECLARE @Thecode VARCHAR(10), @FilterId INT
SET @Thecode = 'code'
SET @FilterId = 50

DECLARE @SQL NVARCHAR(MAX)
SET @SQL = N'SELECT ' + QUOTENAME(@Thecode) + N' FROM sqltable WHERE id = @TargetId'

-- 把过滤参数传递给动态SQL
EXEC sp_executesql @SQL, N'@TargetId INT', @TargetId = @FilterId

必须注意的安全问题 #

如果@Thecode的取值来自用户输入（比如前端表单），一定要先校验它是不是目标表中存在的合法字段名，绝对不能直接拼接用户输入的内容，否则很容易被SQL注入攻击。

内容的提问来源于stack exchange，提问作者ali