如何将SQL Server动态查询结果存储到变量中（附存储过程示例）

你的问题核心是动态SQL内部的变量无法直接传递到外部存储过程的变量中——因为sp_executesql执行的动态SQL处于独立作用域，直接拼接的局部变量没法突破这个边界。要解决这个问题，得利用sp_executesql的输出参数功能传递结果，同时还要修复原代码里的SQL注入风险。

修正后的完整存储过程代码 #

CREATE PROCEDURE [dbo].[CheckTableStatus] 
    @DatabaseName AS NVARCHAR(50) = 'DBA', 
    @ProjectID AS NVARCHAR(50) = 'CommandLog'
AS
BEGIN
    SET NOCOUNT ON;

    DECLARE @TableCount AS INT
    DECLARE @DynamicSQL NVARCHAR(MAX)
    DECLARE @ParamDefinition NVARCHAR(MAX)

    -- 用QUOTENAME处理数据库名，避免特殊字符报错；参数化传递表名防注入
    SET @DynamicSQL = N'USE ' + QUOTENAME(@DatabaseName) + N';
                        SELECT @cnt = COUNT(TABLE_NAME) 
                        FROM INFORMATION_SCHEMA.Tables 
                        WHERE TABLE_NAME = @ProjectIDParam;'

    -- 定义参数规则：声明输出参数@cnt，以及输入参数@ProjectIDParam
    SET @ParamDefinition = N'@cnt INT OUTPUT, @ProjectIDParam NVARCHAR(50)'

    -- 执行动态SQL，把动态SQL里的结果赋值给外部的@TableCount
    EXEC sp_executesql @DynamicSQL, @ParamDefinition, 
                       @cnt = @TableCount OUTPUT, 
                       @ProjectIDParam = @ProjectID

    -- 现在可以正常使用@TableCount变量了
    IF @TableCount > 0
    BEGIN
        -- 这里替换成你的业务逻辑，比如打印提示或执行其他操作
        PRINT '指定表存在，统计数量：' + CAST(@TableCount AS NVARCHAR(10))
    END
    ELSE
    BEGIN
        PRINT '指定表不存在'
    END
END

关键修正点说明 #

• 用QUOTENAME()处理数据库名：避免数据库名包含特殊字符（比如带空格、下划线）时语法出错，同时提升安全性。
• 参数化传递表名：不再直接把@ProjectID拼接到动态SQL里，而是通过sp_executesql的输入参数传递，彻底规避SQL注入风险。
• 声明输出参数：通过@ParamDefinition明确@cnt是输出参数，动态SQL里给它赋值后，sp_executesql会把值同步到外部的@TableCount变量。
• 必须加OUTPUT关键字：执行sp_executesql时，外部变量后一定要加OUTPUT，否则无法接收动态SQL返回的值。

测试执行示例 #

你可以用下面的语句测试这个存储过程：

-- 测试存在的表
EXEC [dbo].[CheckTableStatus] @DatabaseName = 'YourDatabaseName', @ProjectID = 'ExistingTableName'

-- 测试不存在的表
EXEC [dbo].[CheckTableStatus] @DatabaseName = 'YourDatabaseName', @ProjectID = 'NonExistingTableName'

内容的提问来源于stack exchange，提问作者user8624282