SQL中不能用变量代替表名，因对象标识符在编译阶段解析而变量值在运行时才确定；动态SQL应优先用sp_executesql参数化防注入，表名等需QUOTENAME校验后拼接。
为什么不能直接在SQL中用变量代替表名
因为SQL Server（以及MySQL、PostgreSQL等主流数据库）在编译阶段就解析表名、列名这些对象标识符，而变量值只在运行时才确定。所以像 SELECT * FROM @table_name 这种写法会直接报错：Must declare the scalar variable "@table_name" —— 不是变量没声明，而是语法根本不允许标识符位置出现变量。
EXEC(@sql) 和 sp_executesql 的关键区别
两者都能执行动态SQL，但 sp_executesql 支持参数化，能复用执行计划、防SQL注入；EXEC(@sql) 是简单字符串拼接，每次都是全新编译，且极易被注入攻击。除非极简单场景（比如仅拼接固定白名单表名），否则必须优先选 sp_executesql。
-
EXEC(@sql)：适合调试或临时脚本，例如EXEC('SELECT COUNT(*) FROM ' + @table_name) -
sp_executesql：需显式定义参数占位符和类型，例如sp_executesql @sql, N'@id INT', @id = 123 - 表名、列名这类对象名无法作为
sp_executesql的参数传入，仍需拼接——但必须先校验合法性
如何安全拼接表名（避免SQL注入）
不能只靠 REPLACE 或简单截断。正确做法是用系统视图验证表名是否存在，且限定在当前数据库、指定Schema下。常见错误是直接拼接用户输入的 @table_name，导致注入如 users; DROP TABLE orders--。
- 先检查表是否存在：
IF NOT EXISTS (SELECT 1 FROM sys.tables t JOIN sys.schemas s ON t.schema_id = s.schema_id WHERE s.name = 'dbo' AND t.name = @table_name) THROW 50000, 'Invalid table name', 1; - 强制限定Schema，避免拼出
[malicious].[table]：用QUOTENAME(@table_name)包裹，它会自动转义并加方括号，如QUOTENAME('user; DROP TABLE x') → [user; DROP TABLE x] - 拼接时只用
QUOTENAME处理对象名，其他值一律走sp_executesql参数化，例如WHERE id = @id
一个带校验的完整存储过程示例
以下是在SQL Server中实现「按表名查询某ID记录」的安全写法：
CREATE PROCEDURE GetRecordById
@table_name NVARCHAR(128),
@id INT
AS
BEGIN
-- 1. 校验表名是否合法且存在
IF NOT EXISTS (
SELECT 1 FROM sys.tables t
JOIN sys.schemas s ON t.schema_id = s.schema_id
WHERE s.name = 'dbo' AND t.name = @table_name
)
THROW 50000, 'Table does not exist or access denied', 1;
<pre class='brush:php;toolbar:false;'>-- 2. 构建动态SQL（仅拼接已校验的表名）
DECLARE @sql NVARCHAR(MAX) =
N'SELECT * FROM dbo.' + QUOTENAME(@table_name) + N' WHERE id = @id';
-- 3. 执行，参数 @id 由 sp_executesql 安全传递
EXEC sp_executesql @sql, N'@id INT', @id = @id;END
注意 QUOTENAME 只处理单个标识符，不支持拼接字段列表或WHERE条件中的列名；如果需要动态列，同样要先查 sys.columns 做白名单校验。
最易被忽略的是权限控制：即使表名校验通过，执行者也必须对目标表有SELECT权限，否则 sp_executesql 仍会报错——这个错误常被误判为SQL拼接问题。
