如何编写支持多参数动态筛选的SQL存储过程？

嘿，这个需求在日常开发里真的挺常见的！我给你分享两种实用的实现思路，你可以根据自己的业务场景来选：

方法一：静态SQL方案（推荐，安全又稳定） #

这种方法不需要拼接SQL字符串，利用参数默认值+条件判断来实现动态筛选，完全避免SQL注入风险，而且数据库能复用执行计划，性能更靠谱。

核心逻辑是：给每个参数设置默认值NULL，当用户不传该参数时，对应的筛选条件自动失效（因为参数 IS NULL会让条件恒成立）。

存储过程示例 #

CREATE PROCEDURE dbo.GetFilteredTbl1Data
    @A INT = NULL,          -- 参数A，默认NULL（用户可选传值）
    @B VARCHAR(50) = NULL,  -- 参数B，默认NULL
    @C DATE = NULL,         -- 参数C，默认NULL
    @D VARCHAR(10) = NULL   -- 参数D，默认NULL
AS
BEGIN
    SET NOCOUNT ON;

    SELECT Col1, Col2, Col3, Col4, Col5
    FROM tbl1
    WHERE
        -- 仅当@A不为NULL时，才应用A列的筛选
        (A = @A OR @A IS NULL)
        -- 用AND连接多个条件，同理处理其他参数
        AND (B = @B OR @B IS NULL)
        AND (C = @C OR @C IS NULL)
        AND (D = @D OR @D IS NULL);
END

补充说明 #

• 如果你的字符串参数可能会传入空字符串（而不是NULL），可以调整条件，比如把@B IS NULL改成@B IS NULL OR @B = ''，这样用户传空字符串也会忽略该参数筛选。
• 这种方法适合大多数常规场景，维护起来也简单，不用操心字符串拼接的问题。

方法二：动态SQL方案（适合复杂场景） #

如果你的筛选逻辑更复杂（比如需要动态拼接其他条件、排序规则等），可以用动态SQL，但一定要注意参数化执行，绝对不能直接把参数值拼进SQL字符串里，否则会有严重的SQL注入漏洞！

我们可以用sp_executesql来执行参数化的动态SQL，既灵活又安全。

存储过程示例 #

CREATE PROCEDURE dbo.GetFilteredTbl1Data_Dynamic
    @A INT = NULL,
    @B VARCHAR(50) = NULL,
    @C DATE = NULL,
    @D VARCHAR(10) = NULL
AS
BEGIN
    SET NOCOUNT ON;

    -- 初始化WHERE子句
    DECLARE @WhereClause NVARCHAR(MAX) = '';
    -- 定义完整的SQL语句
    DECLARE @SqlQuery NVARCHAR(MAX);

    -- 拼接各参数的筛选条件
    IF @A IS NOT NULL
        SET @WhereClause += N'AND A = @A ';
    IF @B IS NOT NULL
        SET @WhereClause += N'AND B = @B ';
    IF @C IS NOT NULL
        SET @WhereClause += N'AND C = @C ';
    IF @D IS NOT NULL
        SET @WhereClause += N'AND D = @D ';

    -- 处理WHERE子句开头的多余AND（如果有参数的话）
    IF LEN(@WhereClause) > 0
        SET @WhereClause = N'WHERE ' + STUFF(@WhereClause, 1, 4, N'');

    -- 拼接完整的查询语句
    SET @SqlQuery = N'SELECT Col1, Col2, Col3, Col4, Col5 FROM tbl1 ' + @WhereClause;

    -- 执行参数化动态SQL，把所有参数传递进去
    EXEC sp_executesql
        @SqlQuery,
        N'@A INT, @B VARCHAR(50), @C DATE, @D VARCHAR(10)',
        @A = @A,
        @B = @B,
        @C = @C,
        @D = @D;
END

关键注意点 #

• 绝对不要用SET @SqlQuery = 'SELECT ... WHERE A = ' + @A这种直接拼接参数的写法！一定要用sp_executesql传递参数，这样能避免SQL注入。
• 如果所有参数都没传，@WhereClause会是空字符串，此时执行的就是SELECT ... FROM tbl1，返回所有数据，符合需求。

两种方法的对比 #

内容的提问来源于stack exchange，提问作者Mish