如何在OPENJSON查询的INSERT INTO语句中使用动态表名？

我来帮你搞定这个把固定表名换成动态表名的问题，你用sp_executesql的思路是对的，但需要注意几个关键细节，比如表名的安全处理和JSON参数的正确传递，避免SQL注入和语法错误。

正确的实现代码 #

下面是调整后的完整代码，你可以直接参考：

DECLARE @jsonVariable NVARCHAR(MAX)
DECLARE @TABLENAME NVARCHAR(MAX) = 'Students'
DECLARE @SQL NVARCHAR(MAX)

-- 初始化JSON变量
SET @jsonVariable = N'{ "id" : "11","info": { "fname": "John", "surname": "Smith" }, "age": "25" }'

-- 构造动态SQL语句：用QUOTENAME处理表名，避免注入和特殊字符问题
SET @SQL = N'INSERT INTO ' + QUOTENAME(@TABLENAME) + ' 
             SELECT * 
             FROM OPENJSON(@jsonParam) 
             WITH (id int, fname nvarchar(50) ''$.info.fname'')'

-- 执行动态SQL，传递JSON参数
EXEC sp_executesql 
    @SQL,
    N'@jsonParam NVARCHAR(MAX)',
    @jsonParam = @jsonVariable

关键细节说明 #

• 安全处理表名：用QUOTENAME(@TABLENAME)包裹表名，这一步非常重要。它会自动给表名加上方括号（比如把Students变成[Students]），如果表名包含空格、特殊字符或者是SQL关键字，这样处理后SQL能正确识别；同时还能防止SQL注入攻击（比如恶意输入Students; DROP TABLE Users;会被转义成[Students; DROP TABLE Users;]，不会执行恶意语句）。
• 参数化传递JSON：把@jsonVariable作为参数传给sp_executesql，而不是直接拼到SQL字符串里。这样既避免了JSON内容里的引号转义麻烦，也更安全，防止注入风险。
• 动态SQL的引号转义：在WITH子句里的'$.info.fname'，因为外层是用N''包裹的字符串，所以里面的单引号要写成两个''来转义，否则会出现语法错误。

额外注意事项 #

• 要确保目标表（比如示例里的Students）的结构和SELECT语句返回的列（id、fname）完全匹配，否则会抛出列不匹配的错误。
• 如果表名是来自用户输入，除了用QUOTENAME，最好再做一层验证（比如检查表名是否存在于系统表中），进一步提升安全性。

内容的提问来源于stack exchange，提问作者Santanu