求助：如何在SQL Server存储过程中编写动态SQL查询

看起来你是想把那个带电话号码格式清理的客户查询封装成动态SQL存储过程对吧？我帮你写一个符合SQL Server最佳实践的实现，同时优化代码的可读性和复用性：

完整的存储过程实现 #

这个版本采用参数化执行来避免SQL注入，同时让存储过程可以灵活复用：

CREATE PROCEDURE dbo.GetCustomersByPhone
    @OfficeNo VARCHAR(10), -- 根据你的表字段实际类型调整，比如如果是INT就改成INT
    @TargetPhone VARCHAR(20) -- 传入不带格式的目标电话号码
AS
BEGIN
    SET NOCOUNT ON; -- 关闭行数统计消息，让存储过程输出更简洁

    DECLARE @DynamicSQL NVARCHAR(MAX);

    -- 构建动态SQL语句，使用参数化占位符
    SET @DynamicSQL = N'
        SELECT TOP (1000) 
            [OfficeNo], 
            [CustNo], 
            [SAPNo], 
            [Name1], 
            [Name2], 
            [HomePhone], 
            [OtherPhone], 
            [FaxPhone], 
            [cellPhone], 
            [workPhone] 
        FROM [dbo].[tblCustomers] 
        WHERE OfficeNo = @ParamOfficeNo 
            AND (
                -- 清理HomePhone格式后匹配目标号码
                REPLACE(REPLACE(REPLACE(REPLACE(HomePhone,''(',''),'' '',''),''-'',''),'')'','') = @ParamTargetPhone
                -- 同理处理其他电话号码字段
                OR REPLACE(REPLACE(REPLACE(REPLACE(OtherPhone,''(',''),'' '',''),''-'',''),'')'','') = @ParamTargetPhone
                OR REPLACE(REPLACE(REPLACE(REPLACE(FaxPhone,''(',''),'' '',''),''-'',''),'')'','') = @ParamTargetPhone
                OR REPLACE(REPLACE(REPLACE(REPLACE(cellPhone,''(',''),'' '',''),''-'',''),'')'','') = @ParamTargetPhone
                OR REPLACE(REPLACE(REPLACE(REPLACE(workPhone,''(',''),'' '',''),''-'',''),'')'','') = @ParamTargetPhone
            )';

    -- 使用sp_executesql执行动态SQL，传入参数避免注入
    EXEC sp_executesql 
        @DynamicSQL,
        -- 定义参数类型
        N'@ParamOfficeNo VARCHAR(10), @ParamTargetPhone VARCHAR(20)',
        -- 绑定实际参数值
        @ParamOfficeNo = @OfficeNo,
        @ParamTargetPhone = @TargetPhone;
END
GO

关键优化点说明 #

• 参数化执行：使用sp_executesql而非直接字符串拼接，这是SQL Server中动态SQL的最佳实践，既能防止SQL注入，又能让查询计划被重用，提升性能。
• 避免硬编码：把OfficeNo和目标电话号码设为存储过程参数，这样你不需要每次修改SQL字符串就能查询不同的Office或电话号码。
• 逻辑层级清晰：通过括号明确WHERE条件的逻辑关系，确保和你的原查询逻辑一致（如果你的原逻辑是(OfficeNo = '1043' AND 电话匹配) OR ...，可以调整括号位置）。

可选：封装电话号码清理逻辑 #

重复的REPLACE链看起来很冗余，你可以封装一个标量函数来简化代码：

CREATE FUNCTION dbo.CleanPhoneNumber(@PhoneNumber VARCHAR(50))
RETURNS VARCHAR(20)
AS
BEGIN
    -- 统一清理电话号码中的括号、空格、横杠
    RETURN REPLACE(REPLACE(REPLACE(REPLACE(@PhoneNumber,'(', ''), ' ', ''), '-', ''), ')', '');
END
GO

修改后的动态SQL会更简洁：

SET @DynamicSQL = N'
    SELECT TOP (1000) 
        [OfficeNo], 
        [CustNo], 
        [SAPNo], 
        [Name1], 
        [Name2], 
        [HomePhone], 
        [OtherPhone], 
        [FaxPhone], 
        [cellPhone], 
        [workPhone] 
    FROM [dbo].[tblCustomers] 
    WHERE OfficeNo = @ParamOfficeNo 
        AND (
            dbo.CleanPhoneNumber(HomePhone) = @ParamTargetPhone
            OR dbo.CleanPhoneNumber(OtherPhone) = @ParamTargetPhone
            OR dbo.CleanPhoneNumber(FaxPhone) = @ParamTargetPhone
            OR dbo.CleanPhoneNumber(cellPhone) = @ParamTargetPhone
            OR dbo.CleanPhoneNumber(workPhone) = @ParamTargetPhone
        )';

使用示例 #

调用存储过程查询你需要的客户数据：

EXEC dbo.GetCustomersByPhone @OfficeNo = '1043', @TargetPhone = '6147163987';

内容的提问来源于stack exchange，提问作者Sourav Das