使用sp_executesql创建SQL Server登录与用户时出现参数语法错误求助

嘿，我一眼就发现了问题所在——你的动态SQL语句拼接后，几个核心操作之间没有添加语句分隔符，导致SQL Server无法正确解析独立的T-SQL命令，这就是报错的直接原因！

错误根源分析 #

你拼接后的动态SQL会变成类似这样的格式：

CREATE LOGIN @nameP WITH PASSWORD = @passwordP , DEFAULT_DATABASE=[TreeBase] CREATE USER @nameP FOR LOGIN @nameP ALTER ROLE official_role ADD MEMBER @nameP ;

可以看到，CREATE LOGIN、CREATE USER、ALTER ROLE三个语句完全连在一起，SQL Server无法识别它们是三个独立的操作，自然会抛出语法错误。

修正后的存储过程代码 #

只需要在每个语句末尾添加分号（;），将它们分隔成独立的T-SQL语句即可，同时保持你正确的参数化方式（这一点做得很好，避免了SQL注入风险）：

PROCEDURE [dbo].[regNewOfficial] 
    @name nvarchar(30), 
    @password nvarchar(30) 
AS 
DECLARE @sqlRequest NVARCHAR(1000); 
SET @sqlRequest = 
    'CREATE LOGIN @nameP WITH PASSWORD = @passwordP, DEFAULT_DATABASE=[TreeBase];' +
    'CREATE USER @nameP FOR LOGIN @nameP;' +
    'ALTER ROLE official_role ADD MEMBER @nameP;'; 
EXECUTE sp_executesql 
    @sqlRequest, 
    N'@nameP nvarchar(30), @passwordP nvarchar(30)', 
    @nameP=@name, 
    @passwordP=@password; 

额外注意事项 #

• 确保执行这个存储过程的账号拥有CREATE LOGIN、CREATE USER以及ALTER ANY ROLE的权限，否则会出现权限不足的错误。
• 你的参数化方式是正确的，一定要保持这种写法，不要直接把变量拼接到SQL字符串里，防止SQL注入攻击。

内容的提问来源于stack exchange，提问作者Egor