MySQL存储过程中ORDER BY不能直接拼接变量，因解析器要求列名必须是预编译时确定的标识符；唯一安全解法是用PREPARE+EXECUTE动态SQL，并严格白名单校验列名与排序方向。
为什么不能直接在 ORDER BY 后拼接变量
MySQL 存储过程中，ORDER BY 子句不接受用户变量或参数作为列名——比如写成 ORDER BY @sort_col 或 ORDER BY p_sort_field 会报错 ERROR 1054 (42S22): Unknown column 'p_sort_field' in 'order clause'。这是因为解析器在预编译阶段就要求列名必须是确定的标识符，而非运行时值。
解决路径只有一条：绕过静态解析，用动态 SQL 重新构造并执行完整语句。
PREPARE + EXECUTE 是唯一可行方案
必须用 PREPARE 声明语句、EXECUTE 执行、DEALLOCATE PREPARE 清理。中间不能依赖任何“拼字符串+直接执行”的偷懒方式（如老版本误用 SET @sql = CONCAT(...) 后没 PREPARE 就想跑，会静默失败或报错 ERROR 1064）。
-
CONCAT()拼接时，列名必须用反引号包裹，防止字段含空格或关键字（如CONCAT('ORDER BY `', p_sort_field, '` ', p_sort_order)） - 排序方向（ASC/DESC）不能作为参数传入
EXECUTE ... USING，因为它是语法关键字，不是数据值——必须拼进 SQL 字符串里 - 所有用户输入的列名必须白名单校验，否则极易引发 SQL 注入（比如传入
id`; DROP TABLE users; --）
安全拼接列名的实操步骤
别信“加个 ESCAPE 就能防注入”——列名无法参数化，只能靠白名单硬控制。推荐做法：
- 用
CASE显式枚举允许的列：例如CASE p_sort_field WHEN 'name' THEN 'name' WHEN 'created_at' THEN 'created_at' ELSE 'id' END - 把结果赋给一个中间变量（如
SET @safe_col = ...），再拼进@sql - 排序方向同样限制为
'ASC'或'DESC'，其他值统一 fallback 到'ASC' - 完整示例片段：
SET @sql = CONCAT('SELECT * FROM users WHERE status = ? ORDER BY `', @safe_col, '` ', @safe_order); PREPARE stmt FROM @sql; EXECUTE stmt USING @status_val;
EXECUTE USING 只能传数据值，不能传结构
USING 子句仅支持标量参数（数字、字符串、NULL），不能传表名、列名、LIMIT 值（除非也拼进字符串）。常见翻车点：
- 想用
USING @limit_val实现分页？不行。必须写成CONCAT(' LIMIT ', @limit_val) - WHERE 条件中的值可以用
USING（安全且类型保留），但字段名、操作符（LIKE/=）、逻辑连接词（AND/OR）都得拼进去 - 如果存储过程要返回结果集，确保调用方（如应用层）知道这是动态语句，不支持
OUT参数回传结果集
动态 SQL 的麻烦不在写法，而在校验和清理——漏掉 DEALLOCATE PREPARE 会导致内存泄漏；放行非法列名等于敞开数据库大门。真要上生产，白名单逻辑宁可啰嗦，也不能图省事。
