能否将存储过程传入的@phonename参数设为SELECT查询的列名？

当然可以实现这个需求！不过你直接写Select property as @phonename是行不通的——因为静态SQL里，数据库引擎会把@phonename当成一个固定的字符串别名，而不是你传入的参数值。要实现动态修改列别名，得用动态SQL来拼接执行语句才行。

核心思路 #

动态SQL的本质是先把要执行的SQL语句拼接成字符串（把参数值替换到合适的位置），再让数据库执行这个拼接好的字符串。这里要注意两个关键：

• 确保列名的合法性（比如处理特殊字符、关键字）
• 避免SQL注入风险

具体实现示例（以SQL Server为例） #

下面是一个完整的存储过程示例，完美实现你的需求：

CREATE PROCEDURE GetPhoneProperty
    @phonename NVARCHAR(100)
AS
BEGIN
    -- 先校验参数合法性，避免空值或无效输入导致的错误
    IF @phonename IS NULL OR @phonename = ''
    BEGIN
        RAISERROR('手机名称不能为空或NULL', 16, 1)
        RETURN
    END

    DECLARE @dynamicSql NVARCHAR(MAX)
    -- 用QUOTENAME包裹参数，自动处理特殊字符/关键字，防止语法错误和注入
    SET @dynamicSql = N'
        SELECT property AS ' + QUOTENAME(@phonename) + N'
        FROM property 
        JOIN phone ON property.Phid = phone.Phid 
        WHERE phone.Phid = (SELECT Phid FROM phone WHERE name = @paramPhoneName)
    '

    -- 使用sp_executesql执行动态SQL，参数化传入变量，避免SQL注入
    EXEC sp_executesql 
        @stmt = @dynamicSql,
        @params = N'@paramPhoneName NVARCHAR(100)',
        @paramPhoneName = @phonename
END

关键细节说明 #

1. QUOTENAME函数的作用：
   它会把你的参数值用方括号[]包裹起来，比如如果传入的@phonename是"iPhone 15"，QUOTENAME会把它变成[iPhone 15]，这样即使参数里有空格、特殊字符或者SQL关键字，也不会导致语法错误，同时能避免部分注入风险。

2. 用sp_executesql而非直接EXEC：
   直接拼接字符串执行EXEC(@dynamicSql)虽然简单，但如果参数是用户输入的，很容易引发SQL注入。而sp_executesql支持参数化查询，把变量作为参数传入，既安全又能让数据库重用执行计划，提升性能。

测试调用 #

比如你要查询名为"华为Mate 60"的手机属性，直接调用存储过程即可：

EXEC GetPhoneProperty @phonename = '华为Mate 60'

返回结果的列名就会是华为Mate 60，而不是原来的Property。

内容的提问来源于stack exchange，提问作者XiaDad