优先选sp_executesql因其支持参数化（防SQL注入）且可重用执行计划；EXECUTE需拼接字符串，易引发注入和性能问题，且不支持参数绑定。

SQL Server里拼接动态SQL，为什么优先选sp_executesql而不是EXECUTE

因为sp_executesql支持参数化，能防SQL注入、可复用执行计划；而EXECUTE（或EXEC）只接受字符串字面量，参数必须拼进SQL里，一来危险，二来每次语句稍有不同就生成新执行计划，性能差。

常见错误现象：EXEC('SELECT * FROM '+ @table_name + ' WHERE id = ' + @id) —— @id 是字符串时直接拼会报错，是数字时没引号又可能被注入，且无法走缓存。

• sp_executesql 的第二个参数是NVARCHAR类型的参数定义列表，格式如N'@p1 INT, @p2 VARCHAR(50)'
• 第三个及之后的参数是实际传入值，顺序和定义一致，类型自动匹配
• 所有变量名（包括@p1、@table_name）都必须用<code>@前缀，且不能拼进参数定义字符串里
• 表名/列名等对象名不能参数化，仍需拼接，但务必用QUOTENAME()包裹，比如QUOTENAME(@table_name)

拼接表名+参数化条件，一个安全可用的sp_executesql示例

场景：根据输入的表名和状态筛选数据，状态值要参数化，表名需校验合法性。

DECLARE @table_name SYSNAME = 'orders';
DECLARE @status VARCHAR(20) = 'shipped';
DECLARE @sql NVARCHAR(MAX);
DECLARE @params NVARCHAR(MAX);
<p>SET @sql = N'SELECT order_id, customer_id FROM ' + QUOTENAME(@table_name) + N' WHERE status = @status';
SET @params = N'@status VARCHAR(20)';</p><p>EXEC sp_executesql @sql, @params, @status = @status;

注意点：

• SYSNAME 类型用于接收表名，比VARCHAR更准确，且QUOTENAME()能处理含空格或特殊字符的表名
• @sql 和 @params 必须是NVARCHAR，否则sp_executesql会报错
• 传参用@status = @status这种命名方式，避免位置错乱；如果省略名字，顺序错一位就查不到数据
• 别写成EXEC sp_executesql @sql, @params, @status——这样系统不知道该把@status绑定到哪个参数上

什么时候不得不用EXECUTE？以及它最常踩的坑

EXECUTE（或简写EXEC）仅适用于纯静态拼接、无用户输入、不涉及变量传参的场景，比如生成临时表结构、执行固定DDL。

典型错误：

• 把变量直接拼进EXEC('... WHERE col = ' + @val)，当@val是'O''Reilly'时，SQL变成WHERE col = 'O'Reilly'，语法错误
• 拼接数字时不转类型：EXEC('SELECT * FROM t WHERE id = ' + @id)，@id是INT没问题，但如果是VARCHAR且含非数字字符，就会隐式转换失败
• 忘记加N前缀：EXEC('SELECT N''hello''')没问题，但EXEC('SELECT ''' + @str + '''')中@str是Unicode时，拼出的字符串可能截断

真要用EXECUTE，至少做到：ISNULL(QUOTENAME(@table_name), '') != ''校验表名存在，TRY_CAST(@id AS INT)验证数字字段，且所有字符串拼接统一用CONVERT(NVARCHAR, ...)。

动态SQL里返回结果集，为什么不能用EXECUTE直接赋值给表变量

因为EXECUTE本身不支持INSERT ... EXEC捕获结果（除非目标是临时表），而sp_executesql可以配合INSERT INTO #temp EXEC sp_executesql @sql，但更推荐用OPENROWSET或重构为函数——不过那已是另一层复杂度了。

简单做法：如果必须把动态查询结果存起来，先建临时表，再用INSERT INTO #t EXEC sp_executesql @sql。但要注意：

• 临时表结构必须提前定义，且字段名、类型、顺序和动态SQL输出完全一致
• 不能在函数里用INSERT ... EXEC，会报错
• sp_executesql内部若含SELECT以外的语句（如PRINT、SET），可能导致结果集结构变化，插入失败

真正难的不是拼SQL，而是控制拼出来的那部分“不能参数化”的内容——对象名、排序方向（ORDER BY @col ASC不合法）、分页偏移（OFFSET @n ROWS在SQL Server 2012+才支持，且@n必须是整数表达式，不能是变量名字符串）。