能否在SSMS中创建表变量？如何实现存储过程动态表名查询？

让我分别解答你的两个SQL相关问题：

当然可以！表变量是SQL Server里非常实用的临时存储对象，你完全可以在SSMS的查询窗口、存储过程或者自定义函数中声明和使用它。

举个直观的示例：

-- 声明一个表变量，定义其结构
DECLARE @TempProperty TABLE (
    PropertyID INT PRIMARY KEY,
    City NVARCHAR(50),
    Price DECIMAL(18,2),
    Status NVARCHAR(20)
);

-- 向表变量插入测试数据
INSERT INTO @TempProperty (PropertyID, City, Price, Status)
VALUES (1, 'Paris', 720000, 'Available'),
       (2, 'Tokyo', 950000, 'Sold');

-- 查询表变量中的数据
SELECT * FROM @TempProperty;

表变量的作用域仅限当前批处理或存储过程，相比临时表更轻量化，适合存储小批量临时数据。

你的需求是根据用户选择的表名（下拉列表）和城市参数查询数据，这里不能直接把表名当作变量硬写到SELECT语句里（SQL Server不支持直接替换标识符），需要用动态SQL来实现，同时要重点防范SQL注入风险。

下面是适配你场景的完整存储过程：

CREATE OR ALTER PROCEDURE [dbo].[sp_Search]
    @City NVARCHAR(50) = NULL,
    @TableName NVARCHAR(128) -- 新增表名参数，对应下拉列表的选择项
AS
BEGIN
    SET NOCOUNT ON;

    -- 第一步：验证传入的表名是否合法存在，防止恶意输入
    IF NOT EXISTS (
        SELECT 1 
        FROM sys.tables 
        WHERE name = @TableName AND schema_id = SCHEMA_ID('dbo')
    )
    BEGIN
        RAISERROR('指定的表不存在，请检查下拉列表的选择。', 16, 1);
        RETURN;
    END;

    -- 第二步：拼接动态SQL，用QUOTENAME处理表名避免语法错误和注入
    DECLARE @DynamicSQL NVARCHAR(MAX);
    SET @DynamicSQL = N'
        SELECT * 
        FROM ' + QUOTENAME(@TableName) + N'
        WHERE (City = @City OR @City IS NULL);
    ';

    -- 第三步：参数化执行动态SQL，确保@City参数安全传递
    EXEC sp_executesql @DynamicSQL, N'@City NVARCHAR(50)', @City = @City;
END;

核心细节说明： #

• 表名合法性校验：通过查询系统视图sys.tables确认传入的表名确实存在于当前数据库的dbo架构下，避免用户输入非法或恶意内容。
• QUOTENAME函数：自动给表名添加方括号，处理表名包含特殊字符或关键字的情况，同时从根源上避免SQL注入。
• sp_executesql执行：用参数化方式传递@City，而不是直接拼接到SQL字符串中，进一步降低注入风险，同时提升查询性能（可缓存执行计划）。

使用示例： #

-- 查询PropertyForSale_TBL表中城市为Berlin的数据
EXEC [dbo].[sp_Search] @City = 'Berlin', @TableName = 'PropertyForSale_TBL';

-- 查询RentProperty_TBL表的所有数据（@City为NULL时返回全表）
EXEC [dbo].[sp_Search] @TableName = 'RentProperty_TBL';

内容的提问来源于stack exchange，提问作者Md. Muqtada Kamal