动态表关联须用动态SQL，但需隔离条件判断、字符串拼接与执行；MySQL需DEALLOCATE防重复声明，SQL Server必须用sp_executesql并参数化值、QUOTENAME对象名，Oracle需白名单校验表名。
动态表关联不能靠硬写 JOIN，必须用动态 SQL 拼接；但直接拼字符串会炸（SQL 注入、语法错误、变量作用域混乱），核心是：条件判断归判断，拼接归拼接，执行归执行，三者必须隔离。
MySQL 中 PREPARE 执行前必须 DEALLOCATE 同名 stmt
多次调用同一个存储过程时，如果反复 PREPARE stmt FROM @sql 而不 DEALLOCATE PREPARE stmt，第二次就会报错：ERROR 1243 (HY000): Unknown prepared statement handler (stmt) given to EXECUTE 或更隐蔽的“Duplicate prepared statement”提示。
- 每次
PREPARE前，先加IF EXISTS判断并DEALLOCATE PREPARE stmt（MySQL 8.0+ 支持）；低版本必须无条件DEALLOCATE PREPARE stmt，哪怕上一次没成功执行 - 别用固定名如
stmt，改用带时间戳或参数哈希的变量名，例如stmt_1、stmt_user_v2，避免跨调用冲突 -
@sql字符串长度上限默认为 1024，拼复杂 JOIN 容易截断，务必在开头设SET SESSION group_concat_max_len = 1048576;或显式声明SET @sql = CAST('...' AS CHAR(4000));
SQL Server 中 sp_executesql 是唯一安全路径
写成 EXEC('SELECT * FROM ' + @table_name) 看似简单，但只要 @table_name 来自任何不可信来源（哪怕只是前端传参未校验），就等于敞开 SQL 注入大门。真正能用的只有 sp_executesql，且必须满足两个硬约束：
- 所有**数据值**（WHERE 条件里的用户名、ID、日期）必须走参数占位符，绝不能拼进字符串 —— 例如
AND name = @name，而不是AND name = ''' + @name + ''' - 所有**对象名**（表名、列名、schema）必须用
QUOTENAME(@table_name)包裹，它会自动加方括号并转义内部]，比如QUOTENAME('user]s')→[user]]s] - 动态 JOIN 的 ON 条件字段若也需动态，例如
ON t1.<code>join_col= t2.join_col，那join_col就是对象名，同样要QUOTENAME(@join_col)
WHERE 和 JOIN 条件不能混在一条拼接逻辑里
常见错误是把 “是否关联订单表” 和 “是否过滤订单状态” 都塞进同一个 IF 分支，结果导致 SQL 结构错乱：比如只加了 LEFT JOIN orders o ON u.id = o.user_id，却漏了 AND o.status = 1，或者反过来，WHERE 里写了 o.status 但没 JOIN orders 表，直接报 Invalid column name 'o.status'。
- 拆成两段独立拼接：一段专管
FROM ... JOIN ...子句，用布尔变量标记是否启用某张表；另一段专管WHERE子句，只追加条件表达式 - JOIN 部分建议从主表开始，每加一个表就同步追加其别名和 ON 条件占位符，例如：
SET @sql += ' LEFT JOIN ' + QUOTENAME(@order_db) + '.' + QUOTENAME(@order_table) + ' o ON u.id = o.user_id' - WHERE 部分统一以
WHERE 1=1开头，后续所有条件都用AND xxx追加，避免判断首个条件是否需要加 WHERE
Oracle 中 EXECUTE IMMEDIATE 不支持参数化表名，但可绕过
Oracle 的 EXECUTE IMMEDIATE 允许拼接表名，但它不支持像 SQL Server 那样用参数绑定对象名。所以你不能写 EXECUTE IMMEDIATE 'SELECT * FROM :tbl' USING v_table —— 会报 ORA-01006: bind variable does not exist。
- 表名、列名等标识符必须拼进字符串，但必须提前白名单校验：
IF v_table NOT IN ('users', 'orders', 'products') THEN RAISE_APPLICATION_ERROR(-20001, '非法表名'); - 用
DBMS_ASSERT.SQL_OBJECT_NAME(v_table)自动校验并转义，它会拒绝含点号、引号、空格的输入，合法则原样返回，比手写正则更可靠 - 动态 JOIN 若涉及多表，注意 Oracle 对 ANSI JOIN 语法支持较晚（12c+），老版本建议坚持用传统逗号连接 + WHERE 关联，避免
LEFT JOIN解析失败
最常被跳过的一步是：没验证拼出来的完整 SQL 是否语法合法。上线前至少用 PRINT @sql（SQL Server）或 SELECT @sql（MySQL）把最终字符串捞出来，粘到 SSMS 或 MySQL Workbench 里手动执行一遍 —— 很多引号缺失、括号不匹配、字段不存在的问题，只看代码根本发现不了。
