MySQL存储过程中不能直接用变量执行ALTER TABLE，因预处理协议不支持DDL；必须用CONCAT拼接SQL、存入用户变量@sql，再PREPARE/EXECUTE执行，并严格防注入、清变量、加错误处理。
不能直接在存储过程中用变量拼接 ALTER TABLE 语句并执行——SQL Server、MySQL、PostgreSQL 都不支持对 DDL 语句的参数化，必须用动态 SQL，且权限、作用域和事务行为极易出错。
为什么 ALTER TABLE 不能直接用变量？
DDL 语句（如 ALTER TABLE）不接受参数占位符（如 @column_name），SQL 引擎在解析阶段就要求表名、列名、约束名等为字面量。试图写成 ALTER TABLE @table ADD COLUMN @col INT 会直接报错：Must declare the scalar variable "@table"（SQL Server）或类似语法错误（MySQL 报 ERROR 1064）。
常见错误现象：
- 把变量直接塞进
ALTER TABLE语句里，执行失败 - 用
sp_executesql传参方式试图绑定列名——无效，参数只能用于值，不能用于对象名 - 忽略对象名注入风险，用
+拼接用户输入的表名/列名，导致 SQL 注入
SQL Server 中必须用 sp_executesql + QUOTENAME()
SQL Server 要求对象名（表、列、约束）必须经 QUOTENAME() 转义，否则含空格、特殊字符或关键字（如 order、user）的名称会失败；同时必须用 sp_executesql（而非 EXEC）以支持参数化值部分（如默认值、CHECK 条件中的值）。
实操建议：
- 所有动态拼接的对象名（
@table_name、@col_name）必须包裹在QUOTENAME(@xxx)中 - 若需插入默认值（如
DEFAULT '2024-01-01'），该字符串值可作为sp_executesql的参数传入，避免二次拼接 - 执行前加
IF EXISTS (SELECT 1 FROM sys.columns WHERE ...)判断列是否存在，防止重复添加报错
示例（添加非空列并设默认值）：
DECLARE @sql NVARCHAR(MAX), @table SYSNAME = 'orders', @col SYSNAME = 'status'; IF NOT EXISTS (SELECT 1 FROM sys.columns WHERE object_id = OBJECT_ID(@table) AND name = @col) BEGIN SET @sql = N'ALTER TABLE ' + QUOTENAME(@table) + N' ADD ' + QUOTENAME(@col) + N' VARCHAR(20) NOT NULL DEFAULT ''pending'';'; EXEC sp_executesql @sql; END
MySQL 中用 CONCAT() + PREPARE/EXECUTE，且必须检查列存在
MySQL 不支持 QUOTENAME，需手动用反引号包裹对象名，并严格校验输入合法性（如正则匹配 ^[a-zA-Z_][a-zA-Z0-9_]*$）。PREPARE 语句不能复用同一语句名，建议每次用唯一变量名（如 @stmt1）。
关键点：
- 表名、列名必须用反引号包裹：
CONCAT('ALTER TABLE `', @table, '` ADD COLUMN `', @col, '` INT') - 不能在
PREPARE中使用变量作为数据库名或表名以外的结构名（如索引名）——仍需拼接 - MySQL 8.0+ 支持
ALTER TABLE ... ADD COLUMN IF NOT EXISTS，但仅限列，不适用于约束、索引等 - 执行 DDL 后，当前会话的表元数据缓存可能未刷新，后续查询可能报错，建议避免在同一事务中紧接 DML
示例（安全添加列）：
SET @table = 'users'; SET @col = 'last_login';
SET @sql = CONCAT('ALTER TABLE `', @table, '` ADD COLUMN `', @col, '` DATETIME');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
PostgreSQL 中用 EXECUTE + format()，注意搜索路径与权限
PostgreSQL 要求显式用 format('%I', variable) 转义标识符（表/列名），用 %L 转义字面值。动态 DDL 默认在 search_path 下执行，若表在非 public schema，必须显式拼上 schema 名（如 format('%I.%I', @schema, @table)）。
容易踩的坑：
- 忘记
format()，直接拼接导致 SQL 注入或大小写敏感失败（如表名为"MyTable"） - 未在函数开头设置
SET LOCAL search_path TO ...，导致跨 schema 找不到表 - 函数执行者无
ALTER权限，报错：permission denied for relation xxx - 在事务块中执行
ALTER TABLE后又执行ROLLBACK，某些旧版本（
示例（带 schema 的安全添加）：
DO $$
DECLARE
tbl TEXT := 'orders';
col TEXT := 'processed';
sch TEXT := 'sales';
BEGIN
IF NOT EXISTS (SELECT 1 FROM pg_attribute WHERE attrelid = format('%I.%I', sch, tbl)::regclass AND attname = col) THEN
EXECUTE format('ALTER TABLE %I.%I ADD COLUMN %I BOOLEAN', sch, tbl, col);
END IF;
END $$;
动态修改表结构不是“加个字段”那么简单：它涉及锁表时间（尤其大表）、复制延迟（主从）、应用层兼容性（ORM 缓存、DTO 类）、以及 DDL 在事务中是否可回滚（MySQL DDL 隐式提交，PG 可回滚但有例外）。上线前务必在同规格环境压测加字段耗时，并确认下游服务能容忍短暂的元数据不一致。
