PostgreSQL存储过程中USING子句动态SQL执行报错排查

错误原因 #

PostgreSQL的EXECUTE ... USING语法中，USING仅支持传递数据值参数（如WHERE子句中的条件值），不支持传递表名、列名这类SQL标识符。直接用$1代替表名会导致SQL语法解析错误，因为数据库会把$1当作数据值而非表名处理。

正确实现方案 #

要安全地动态指定表名，需使用format()函数配合%I占位符（用于安全转义SQL标识符）来构建动态SQL，既避免语法错误，又能防止SQL注入风险。

修改后的存储过程代码：

create or replace procedure myf_proc(tblname text)
language plpgsql
as
$$
declare
    qry text;
begin
    qry := format('delete from %I where energy = 0;', tblname);
    execute qry;
end;
$$;

调用时直接传入表名即可，无需额外加引号：

call myf_proc('mysolar');

额外说明 #

• 原字符串拼接写法（'delete from ' || tablename || ' where energy = 0;'）虽然能运行，但存在SQL注入风险，比如传入恶意构造的表名字符串可能破坏数据库。使用format()的%I占位符会自动对标识符进行转义，是更安全的做法。
• 如果表名包含特殊字符（如空格、大写字母），%I会自动为其添加双引号，确保标识符被正确解析。

内容的提问来源于stack exchange，提问作者Leo