PostgreSQL中如何用查询结果拼接字符串实现动态表关联查询？

在PostgreSQL中，静态SQL无法直接动态指定表名（因为表名在SQL解析阶段就需要确定），所以要实现你想要的效果，必须使用动态SQL结合PL/pgSQL来完成。下面给你两种实用的实现方式：

方式一：使用DO匿名块（一次性执行） #

如果只是临时执行一次这个查询，用DO块就足够了：

DO $$
DECLARE
    v_col_a integer;
    v_col_b text;
    v_table_name text;
BEGIN
    -- 第一步：从my_table获取需要的col_a和col_b值
    SELECT col_a, col_b INTO v_col_a, v_col_b
    FROM public.my_table LIMIT 1;
    
    -- 第二步：拼接表名，用quote_ident确保标识符安全（防止SQL注入）
    v_table_name := 'public.' || quote_ident(v_col_b || 'gresql');
    
    -- 第三步：执行动态查询，用USING传递参数避免注入风险
    EXECUTE format('SELECT * FROM %s WHERE col_c = $1', v_table_name)
    USING v_col_a;
END $$;

方式二：创建可复用的函数 #

如果需要多次执行这个逻辑，建议创建一个函数，这样可以直接返回查询结果：

-- 创建函数
CREATE OR REPLACE FUNCTION get_dynamic_table_data()
RETURNS SETOF public.postgresql -- 如果明确目标表结构，直接指定返回类型
LANGUAGE plpgsql
AS $$
DECLARE
    v_col_a integer;
    v_col_b text;
    v_table_name text;
BEGIN
    SELECT col_a, col_b INTO v_col_a, v_col_b
    FROM public.my_table LIMIT 1;
    
    v_table_name := 'public.' || quote_ident(v_col_b || 'gresql');
    
    -- 返回动态查询的结果集
    RETURN QUERY EXECUTE format('SELECT * FROM %s WHERE col_c = $1', v_table_name)
    USING v_col_a;
END $$;

-- 调用函数获取结果
SELECT * FROM get_dynamic_table_data();

关键注意事项 #

• 安全优先：永远不要直接把变量拼接到SQL字符串里！用quote_ident()处理表名/列名，用USING传递参数，这能有效防止SQL注入攻击。比如如果col_b的值是包含特殊字符或者SQL关键字的字符串，quote_ident()会自动转义成合法的标识符。
• 返回类型适配：如果目标表的结构不确定，你可以把函数的返回类型改成RETURNS TABLE(col_c integer, col_d text, ...)（明确列出所有列），或者RETURNS SETOF record，但调用后者时需要指定列名，比如：

  SELECT * FROM get_dynamic_table_data() AS t(col_c integer, col_e text);
  

• 为什么不能用你原来的CTE写法？因为CTE属于静态SQL范畴，PostgreSQL在解析SQL的时候就需要确定所有涉及的表名，没法在执行阶段动态替换，所以必须用动态SQL来实现。

内容的提问来源于stack exchange，提问作者Mattijn