将列名列表与表名传入sp_executesql遇异常，求解决方案

我来帮你拆解下遇到的两个问题，以及对应的解决思路：

问题原因分析 #

1. 列名传入后显示字符串而非数据 #

当你把@col作为参数传给sp_executesql时，SQL Server会把它当成一个字符串常量来处理，而不是识别为列名。比如你传入'x'，select @c实际上就是返回字符串'x'，自然不会显示列对应的数据。

2. 表名无法作为参数传入 #

表名、列名这类属于数据库对象名称，sp_executesql的参数化机制只支持传递值类型参数（比如数字、字符串），不支持对象名的参数化。直接传@t会导致SQL语法错误，因为数据库会把@t当成变量，而不是表名。

解决办法：动态拼接SQL + 安全防护 #

既然对象名不能参数化，我们需要把列名和表名直接拼接到查询字符串里，但这里一定要注意SQL注入风险，必须做安全验证。

步骤1：验证对象合法性（防注入关键） #

在拼接SQL之前，先检查传入的表和列是否真的存在于数据库中，避免恶意输入。

步骤2：用QUOTENAME转义对象名 #

QUOTENAME()函数会给对象名加上方括号，避免特殊字符或关键字引发的语法问题，同时进一步降低注入风险。

完整代码示例 #

DECLARE @query NVARCHAR(MAX)
DECLARE @col NCHAR(1) = 'x'
DECLARE @table NVARCHAR(128) = 'sch.a'

-- 拆分架构名和表名（处理带架构的表名）
DECLARE @schemaName NVARCHAR(128) = PARSENAME(@table, 2)
DECLARE @tableName NVARCHAR(128) = PARSENAME(@table, 1)

-- 验证表是否存在
IF NOT EXISTS (
    SELECT 1 
    FROM sys.tables t
    JOIN sys.schemas s ON t.schema_id = s.schema_id
    WHERE s.name = @schemaName AND t.name = @tableName
)
BEGIN
    RAISERROR('指定的表不存在', 16, 1)
    RETURN
END

-- 验证列是否存在于目标表
IF NOT EXISTS (
    SELECT 1 
    FROM sys.columns c
    JOIN sys.tables t ON c.object_id = t.object_id
    JOIN sys.schemas s ON t.schema_id = s.schema_id
    WHERE s.name = @schemaName AND t.name = @tableName AND c.name = @col
)
BEGIN
    RAISERROR('指定的列不存在', 16, 1)
    RETURN
END

-- 拼接安全的动态SQL
SET @query = N'SELECT ' + QUOTENAME(@col) + N' FROM ' + QUOTENAME(@schemaName) + N'.' + QUOTENAME(@tableName)

-- 执行动态查询
EXEC sp_executesql @query

补充说明 #

• 如果你的表名不带架构（比如直接是'a'），可以简化拆分逻辑，直接用@table作为@tableName，@schemaName默认设为'dbo'即可。
• 永远不要跳过合法性检查和QUOTENAME处理，否则很容易被SQL注入攻击。

内容的提问来源于stack exchange，提问作者Cellman