MySQL不支持直接EXECUTE字符串变量，必须通过PREPARE预编译、EXECUTE执行、DEALLOCATE释放三步闭环；?占位符仅适用于数据值，表名列名等标识符须拼接且需白名单校验防注入。
MySQL里为什么不能直接用变量拼接SQL再执行
因为 SET @sql = CONCAT('SELECT * FROM ', @table_name) 这种写法本身没问题，但后续 EXECUTE @sql 会报错——MySQL不支持直接执行字符串变量，必须走 PREPARE + EXECUTE + DEALLOCATE PREPARE 三步闭环。跳过任意一步都可能引发“Unknown prepared statement”或内存泄漏。
常见错误现象：ERROR 1243 (HY000): Unknown prepared statement handler，通常是 DEALLOCATE 漏写，或同一语句名重复 PREPARE 未释放。
- 所有动态表名、列名、ORDER BY 字段都不能用参数化方式（
?占位符只支持数据值，不支持标识符） - 拼接前务必校验
@table_name是否为合法标识符，否则 SQL 注入风险极高 - 建议用正则过滤：
SELECT @table_name REGEXP '^[a-zA-Z_][a-zA-Z0-9_]*$'返回 1 才继续
如何安全拼接并执行带条件的动态查询
比如要根据传入的字段列表、WHERE 条件和排序动态生成 SELECT。关键点在于：条件部分需单独拼接，避免空 WHERE 或孤立 AND；排序字段不能用 ?，必须拼进 SQL 字符串。
SET @fields = 'id, name, created_at';
SET @table = 'users';
SET @where = 'status = ? AND deleted = 0';
SET @order = 'created_at DESC';
<p>SET @sql = CONCAT('SELECT ', @fields, ' FROM ', @table, ' WHERE ', @where, ' ORDER BY ', @order);
PREPARE stmt FROM @sql;
EXECUTE stmt USING @status_value; -- 注意：只有 ? 处才用 USING 传值
DEALLOCATE PREPARE stmt;-
USING后只能跟变量，不能是字面量（如USING 'active'会报错） - 多个
?占位符时，USING的变量顺序和数量必须严格对应 - 如果
@where可能为空，先判断再拼：IF @where != '', CONCAT(' WHERE ', @where), ''
存储过程中使用 PREPARE 的坑与绕过方式
在存储过程里反复调用 PREPARE 时，语句名（如 stmt）不能重复定义，否则报 ERROR 1243。MySQL 不允许同名语句未释放就重定义。
- 每次执行前加
IF EXISTS判断并DEALLOCATE（MySQL 8.0.13+ 支持DROP PREPARE IF EXISTS stmt） - 更稳妥的做法是用唯一语句名：
CONCAT('stmt_', UNIX_TIMESTAMP()) - 不要在循环内频繁
PREPARE/EXECUTE/DEALLOCATE，性能损耗大；可考虑把逻辑拆到应用层拼 SQL - 存储过程里无法直接返回动态列结果集，
SELECT ... INTO只支持固定列数
动态建表或删表这类 DDL 操作怎么处理
DDL 语句同样支持 PREPARE，但注意：事务对 DDL 无效（MySQL 中 DROP TABLE 会隐式提交），且不能用 ? 占位表名。
SET @table_name = 'tmp_report_2024';
SET @sql = CONCAT('CREATE TABLE ', @table_name, ' (id INT PRIMARY KEY, data JSON)');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;- 执行前建议先查
INFORMATION_SCHEMA.TABLES避免重复建表 -
DROP TABLE IF EXISTS是安全起点，但拼接时仍需校验表名合法性 - MySQL 5.7+ 对临时表支持更好，动态场景优先考虑
CREATE TEMPORARY TABLE
真正麻烦的是跨库操作——库名也不能用 ?，必须拼进字符串，且要确认当前用户有对应库权限，否则 EXECUTE 时静默失败或报权限错。
