SQL Server存储过程中如何将动态SQL执行结果赋值给变量？

你遇到的核心问题是动态SQL执行的是独立的批处理——在动态SQL内部声明的@ItemFound和外部的同名变量完全是两个不同的变量，作用域不互通，所以外部的@ItemFound始终是未赋值的NULL，导致判断逻辑出错。

要解决这个问题，推荐使用SQL Server的sp_executesql存储过程，它支持定义输出参数，能把动态SQL执行的结果传递回外部变量，同时还能避免你原来代码里存在的SQL注入风险。

下面是修改后的完整存储过程：

CREATE PROCEDURE MyProcedure (@UPCode varchar(20), @Tablename varchar(200)) 
AS 
BEGIN
    SET NOCOUNT ON; -- 避免返回额外的"影响行数"信息，只保留我们需要的结果

    -- 第一步：执行动态DELETE语句（改用参数化方式避免注入）
    DECLARE @DeleteSQL nvarchar(1000);
    SET @DeleteSQL = N'DELETE FROM ' + QUOTENAME(@Tablename) + N' WHERE [UPCode] = @UPCodeParam';
    -- 用QUOTENAME包裹表名，防止特殊字符干扰+抵御注入
    EXEC sp_executesql 
        @stmt = @DeleteSQL,
        @params = N'@UPCodeParam varchar(20)',
        @UPCodeParam = @UPCode;

    -- 第二步：动态查询剩余行数并赋值到外部变量
    DECLARE @ItemFound int;
    DECLARE @CountSQL nvarchar(500);
    SET @CountSQL = N'SET @ItemCount = (SELECT COUNT(*) FROM ' + QUOTENAME(@Tablename) + N' WHERE UPCode = @UPCodeParam)';

    EXEC sp_executesql
        @stmt = @CountSQL,
        @params = N'@UPCodeParam varchar(20), @ItemCount int OUTPUT', -- 声明输出参数
        @UPCodeParam = @UPCode,
        @ItemCount = @ItemFound OUTPUT; -- 将动态SQL的结果赋值到外部变量

    -- 第三步：校验删除结果
    IF @ItemFound = 0
    BEGIN
        SELECT 'Item Deleted' AS Result;
    END
    ELSE
    BEGIN
        SELECT 'Item NOT Deleted' AS Result;
    END
END

关键细节说明： #

• sp_executesql的输出参数机制：通过OUTPUT关键字标记参数，让动态SQL内部的计算结果能突破批处理边界，传递到外部变量中。
• QUOTENAME函数的作用：包裹表名后，既能处理表名含空格、中括号等特殊字符的场景，又能彻底阻断针对表名的SQL注入攻击。
• 参数化查询：把@UPCode作为参数传递而非直接拼接字符串，从根源上避免SQL注入风险（你原来的字符串拼接方式极易被恶意利用）。

内容的提问来源于stack exchange，提问作者R2 Builder