MySQL存储过程中无法用输入参数指定新增列名的问题求解

你遇到的问题很典型——静态SQL不会把存储过程的参数当作标识符（比如列名）来解析，而是直接把input当成了列的字面名称，所以才会创建出名为input的列，而非你传入的实际参数值。要实现动态指定列名，必须用动态SQL来拼接并执行语句。

正确的实现代码 #

DELIMITER //
CREATE PROCEDURE p1 (IN input CHAR(20))
BEGIN
    -- 拼接动态SQL，用反引号包裹列名，避免和关键字冲突
    SET @sql = CONCAT('ALTER TABLE test1 ADD COLUMN `', input, '` CHAR(20);');
    
    -- 准备预处理语句、执行、最后释放资源
    PREPARE stmt FROM @sql;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END //
DELIMITER ;

关键要点说明 #

• DELIMITER的正确使用：你原来的代码里DELIMITER后面没有指定新的分隔符，这会导致语法错误。我们先把分隔符改成//，避免存储过程内部的分号和默认的语句分隔符冲突，最后再改回;。
• 动态SQL拼接：用CONCAT把ALTER TABLE语句和参数值拼接成完整的SQL字符串，这里用反引号`包裹列名，是为了防止传入的列名是MySQL关键字（比如user、date）导致语法错误。
• 预处理语句的执行：通过PREPARE将拼接好的SQL字符串转为可执行的预处理语句，用EXECUTE执行，最后用DEALLOCATE PREPARE释放资源，避免内存泄漏。

重要提醒：防范SQL注入 #

如果input参数来自用户输入，一定要做合法性校验！比如限制输入只能包含字母、数字和下划线（MySQL标识符的合法字符），否则恶意输入可能会导致SQL注入攻击。比如如果传入的参数是); DROP TABLE test1; --，拼接后的SQL就会执行危险操作。你可以在存储过程里添加校验逻辑，比如用正则表达式判断输入是否符合标识符规则。

内容的提问来源于stack exchange，提问作者Moeinh77