在PL/pgSQL中执行动态SQL主要使用EXECUTE命令，结合USING传参、quote_ident和format函数实现安全高效的动态语句构造与执行。
在PL/pgSQL中执行动态SQL语句，主要依赖于 EXECUTE 命令。当SQL语句在编写函数时无法确定（例如表名、字段名或条件随输入变化），就需要使用动态SQL机制来构造并执行这些语句。
1. 使用 EXECUTE 执行动态SQL
EXECUTE 是PL/pgSQL中执行动态SQL的核心命令。它可以运行包含变量拼接的字符串形式的SQL语句。
基本语法：
EXECUTE 'SQL语句字符串' [USING 参数列表];示例：根据传入的表名和条件查询数据
CREATE OR REPLACE FUNCTION query_table_dynamic( table_name TEXT, filter_col TEXT, filter_val TEXT ) RETURNS SETOF RECORD AS $$ BEGIN RETURN QUERY EXECUTE 'SELECT * FROM ' || quote_ident(table_name) || ' WHERE ' || quote_ident(filter_col) || ' = $1' USING filter_val; END; $$ LANGUAGE plpgsql;说明：
- quote_ident()：用于安全地引用标识符（如表名、列名），防止SQL注入和处理含特殊字符的名称。
- USING：推荐方式传参，避免直接拼接值，提高安全性与性能。
2. 动态SQL中的参数传递（USING vs 直接拼接）
建议始终使用 USING 子句传入值，而不是用 || 拼接，原因如下：
- 避免SQL注入风险。
- 支持所有数据类型自动转换。
- 提升执行计划重用可能性。
错误做法（不推荐）：
EXECUTE 'INSERT INTO users (name) VALUES (''' || user_name || ''')';
正确做法：
EXECUTE 'INSERT INTO users (name) VALUES ($1)' USING user_name;3. 处理返回结果：RETURN QUERY EXECUTE
当动态SQL需要返回结果集时，使用 RETURN QUERY EXECUTE。
示例：动态查询并返回记录
CREATE OR REPLACE FUNCTION get_rows_dynamic(tbl TEXT, limit_val INT) RETURNS TABLE(id INT, name TEXT) AS $$ BEGIN RETURN QUERY EXECUTE 'SELECT id, name FROM ' || quote_ident(tbl) || ' LIMIT $1' USING limit_val; END; $$ LANGUAGE plpgsql;注意：RETURN QUERY EXECUTE 只能用于 RETURNS SETOF 或 TABLE 类型的函数。
4. 动态DDL操作示例
动态SQL也常用于执行DDL语句，如创建表、索引等。
CREATE OR REPLACE FUNCTION create_partition_table(base_name TEXT, part_date DATE) RETURNS VOID AS $$ DECLARE table_name TEXT := base_name || '_' || to_char(part_date, 'YYYYMM'); BEGIN EXECUTE format('CREATE TABLE IF NOT EXISTS %I (id SERIAL, data TEXT, created DATE)', table_name); EXECUTE format('CREATE INDEX ON %I (created)', table_name); END; $$ LANGUAGE plpgsql;这里使用 format() 配合 %I（自动加双引号转义标识符）更安全简洁。
基本上就这些。PL/pgSQL的动态SQL机制灵活但需谨慎使用，重点是保证安全性与可维护性。合理使用 EXECUTE、USING、quote_ident 和 format 函数，可以高效实现各类动态数据库操作。
