如何创建支持动态SELECT列的存储过程？结合_SelectFromQry实现

我明白你的需求了——你需要一个能根据[_SelectFromQry]返回的列列表，动态生成SELECT语句查询目标表的存储过程对吧？这在SQL Server里完全可以通过动态SQL实现，下面我给你一步步拆解实现方案：

核心思路 #

1. 调用现有存储过程[_SelectFromQry]获取指定@queryname对应的列名列表
2. 将列名拼接成逗号分隔的字符串
3. 用这个字符串动态生成SELECT语句并执行

具体实现代码 #

这里我做了两种版本：一种是把目标表名作为参数（更灵活，适用于需要查询不同表的场景），另一种是固定目标表的版本。

版本1：目标表名作为参数（推荐）

ALTER PROCEDURE [dbo].[_DynamicSelectFromTarget]
    @queryname NVARCHAR(255),
    @targetTable NVARCHAR(255) -- 允许动态指定要查询的表
AS
BEGIN
    SET NOCOUNT ON;

    -- 第一步：从[_SelectFromQry]获取列名，拼接成逗号分隔的字符串
    DECLARE @columns NVARCHAR(MAX);
    -- 用STRING_AGG（SQL Server 2017+支持）快速拼接列名
    SELECT @columns = STRING_AGG(TBLCOL, ', ')
    FROM [dbo].[_SelectFromQry](@queryname);

    -- 如果你用的是SQL Server 2016及以下版本，替换成下面的拼接方式：
    -- SELECT @columns = COALESCE(@columns + ', ', '') + TBLCOL
    -- FROM [dbo].[_SelectFromQry](@queryname);

    -- 第二步：拼接动态SQL语句，用QUOTENAME避免表名/列名的特殊字符问题
    DECLARE @sql NVARCHAR(MAX);
    SET @sql = N'SELECT ' + @columns + N' FROM ' + QUOTENAME(@targetTable);

    -- 第三步：执行动态SQL（用sp_executesql比EXEC更安全，支持参数化）
    EXEC sp_executesql @sql;
END

版本2：固定目标表（如果你的查询目标表固定不变）

ALTER PROCEDURE [dbo].[_DynamicSelectFromFixedTable]
    @queryname NVARCHAR(255)
AS
BEGIN
    SET NOCOUNT ON;

    DECLARE @columns NVARCHAR(MAX);
    SELECT @columns = STRING_AGG(TBLCOL, ', ')
    FROM [dbo].[_SelectFromQry](@queryname);

    -- 直接写死目标表名，比如这里假设是Employee表
    DECLARE @sql NVARCHAR(MAX);
    SET @sql = N'SELECT ' + @columns + N' FROM Employee';

    EXEC sp_executesql @sql;
END

额外优化：给列加别名（用TBLCOLLABEL） #

如果需要把查询结果的列名替换成TBLCOLLABEL的值，只需要修改列拼接的逻辑：

SELECT @columns = STRING_AGG(TBLCOL + ' AS ' + QUOTENAME(TBLCOLLABEL), ', ')
FROM [dbo].[_SelectFromQry](@queryname);

使用示例 #

比如你要查询Employee表，对应@queryname='Query1'（返回firstName、LastName）：

EXEC [dbo].[_DynamicSelectFromTarget] @queryname='Query1', @targetTable='Employee';

如果是对应@queryname='Query2'（返回firstName、LastName、Department）：

EXEC [dbo].[_DynamicSelectFromTarget] @queryname='Query2', @targetTable='Employee';

注意事项 #

• SQL注入防护：用QUOTENAME()处理表名，确保即使表名包含特殊字符或关键字也不会出错，同时避免简单的SQL注入；另外要确保QRY表中的数据是可信的，毕竟我们直接用了返回的列名拼接SQL。
• 列唯一性：要保证QRY表中同一个QUERYNAME对应的TBLCOL没有重复，否则会导致SELECT语句报错。
• 权限问题：执行这个存储过程的用户需要拥有目标表的SELECT权限，以及执行[_SelectFromQry]的权限。

内容的提问来源于stack exchange，提问作者questionMarks