SQL标准禁止在GROUP BY或聚合函数中直接使用变量，因解析器需编译期确定函数签名；唯一通用解法是动态拼接，但必须严格白名单校验函数名与列名，并用QUOTENAME()等安全转义，否则引发SQL注入。
为什么不能直接在 GROUP BY 中用变量指定聚合函数
SQL 标准不允许把聚合函数名（如 MAX、SUM、COUNT）当作变量传入，因为解析器在编译阶段就需要确定函数签名和返回类型。写成 SELECT @agg_func(col) FROM t GROUP BY x 会直接报错：Incorrect syntax near '('（SQL Server）或 syntax error at or near "@"（PostgreSQL）。
本质是语法树构建阶段的限制——函数调用必须是静态标识符，不是运行时值。
动态 SQL 拼接的最小安全实践
绕过限制的唯一通用方式是拼接字符串再执行。但必须严格隔离用户输入，否则就是 SQL 注入温床。关键点：
-
@agg_func只能从白名单中取值（如'SUM'、'AVG'、'MAX'、'MIN'），禁止直接拼接用户传入的任意字符串 - 列名（如
@col_name）需用QUOTENAME()（SQL Server）或format_ident()（PostgreSQL）转义，不能简单加单引号 - 避免拼接 WHERE 条件或 GROUP BY 字段名，除非同样经过白名单或严格校验
示例（SQL Server）：
DECLARE @sql NVARCHAR(MAX), @agg_func NVARCHAR(10) = 'SUM', @col_name SYSNAME = 'amount';
SET @sql = N'SELECT ' + @agg_func + N'(' + QUOTENAME(@col_name) + N') AS result FROM orders GROUP BY status';
EXEC sp_executesql @sql;
不同数据库对动态聚合的支持差异
MySQL 不支持 sp_executesql，得用 PREPARE + EXECUTE，且变量不能直接进 PREPARE 字符串，必须用 CONCAT 拼接；PostgreSQL 要求 EXECUTE 的语句字符串里不能有未声明的变量，需用 USING 传参——但聚合函数名仍不能参数化，只能拼接。
共性陷阱：
- PostgreSQL 中
EXECUTE 'SELECT ' || $1 || '(val)' USING 'SUM'会失败：聚合函数名不接受运行时参数 - SQL Server 里
sp_executesql的参数只绑定值，不绑定函数名或列名，这两者必须拼进字符串 - Oracle 的
EXECUTE IMMEDIATE同样要求函数名硬编码或白名单校验后拼接
有没有更安全的替代方案
如果业务允许，优先用 CASE + 静态聚合代替动态拼接：
SELECT
CASE @agg_func
WHEN 'SUM' THEN SUM(amount)
WHEN 'AVG' THEN AVG(amount)
WHEN 'COUNT' THEN COUNT(*)
END AS result
FROM orders GROUP BY status;
这种写法无注入风险，执行计划可复用，但要求所有分支的返回类型兼容（比如 COUNT(*) 是 BIGINT，AVG(amount) 可能是 DECIMAL，需显式 CAST）。真正需要“动态函数名”的场景其实很少，多数时候是接口设计把简单问题复杂化了。
真要拼接，就别省那两行白名单校验——漏掉一次，整库就裸奔。
