如何基于变量值对SQL表多列进行灵活过滤？

当然可以实现！这种根据变量动态调整过滤条件的需求在日常SQL开发里太常见了，我给你两种实用的解决方案，你可以根据自己的场景来选：

这种方法适合用NULL或者特定默认值来标记“不需要过滤该字段”的场景，逻辑清晰且安全性高：

DECLARE @BI_ResponsibleID INT = 5, 
        @CategoryID INT = 3, 
        @ChangeRequestorID INT = 4;

SELECT TOP 4 
    [BI_ResponsibleID], 
    [CategoryID], 
    [ChangeRequestorID]
FROM [BI_Planning].[dbo].[tlbActivity]
WHERE 
    -- 当变量不为NULL时才过滤该字段，否则忽略此条件
    (@BI_ResponsibleID IS NULL OR BI_ResponsibleID = @BI_ResponsibleID)
    AND 
    (@CategoryID IS NULL OR CategoryID = @CategoryID)
    AND 
    (@ChangeRequestorID IS NULL OR ChangeRequestorID = @ChangeRequestorID);

优缺点： #

• 优点：无需拼接SQL，天然避免SQL注入风险，代码易读易维护，适合变量数量不多、过滤逻辑简单的场景。
• 缺点：如果变量组合频繁变化，可能出现查询计划不稳定的情况（参数嗅探问题），可以通过OPTION (RECOMPILE)来缓解。

如果你的变量是用0或者其他特定值表示“不过滤”，只需要把判断条件里的IS NULL改成对应的值即可，比如：

WHERE 
    (@BI_ResponsibleID = 0 OR BI_ResponsibleID = @BI_ResponsibleID)
    AND 
    (@CategoryID = 0 OR CategoryID = @CategoryID)
    AND 
    (@ChangeRequestorID = 0 OR ChangeRequestorID = @ChangeRequestorID);

如果需要更灵活的条件组合（比如可能存在OR逻辑、复杂的条件判断），动态SQL会是更好的选择，记得用sp_executesql传递参数来避免注入：

DECLARE @BI_ResponsibleID INT = 5, 
        @CategoryID INT = 3, 
        @ChangeRequestorID INT = 4;

DECLARE @SQL NVARCHAR(MAX);

-- 基础SQL模板，WHERE 1=1是为了方便拼接AND条件
SET @SQL = N'SELECT TOP 4 
                [BI_ResponsibleID], 
                [CategoryID], 
                [ChangeRequestorID]
            FROM [BI_Planning].[dbo].[tlbActivity]
            WHERE 1=1 ';

-- 根据变量是否有效，动态拼接过滤条件
IF @BI_ResponsibleID IS NOT NULL
    SET @SQL = @SQL + N' AND BI_ResponsibleID = @BI_ResponsibleID ';

IF @CategoryID IS NOT NULL
    SET @SQL = @SQL + N' AND CategoryID = @CategoryID ';

IF @ChangeRequestorID IS NOT NULL
    SET @SQL = @SQL + N' AND ChangeRequestorID = @ChangeRequestorID ';

-- 执行动态SQL并传递参数，避免SQL注入
EXEC sp_executesql @SQL, 
    N'@BI_ResponsibleID INT, @CategoryID INT, @ChangeRequestorID INT',
    @BI_ResponsibleID = @BI_ResponsibleID,
    @CategoryID = @CategoryID,
    @ChangeRequestorID = @ChangeRequestorID;

优缺点： #

• 优点：完全灵活，能根据变量的存在与否生成最贴合的查询语句，查询计划更精准。
• 缺点：代码相对复杂，需要注意SQL注入风险（必须用参数化执行，不能直接拼接变量值）。

内容的提问来源于stack exchange，提问作者Nils