SQL Server动态分组必须用sp_executesql并严格校验：列名用QUOTENAME+INFORMATION_SCHEMA验证，聚合函数白名单过滤，多字段用STRING_AGG或FOR XML拼接，ORDER BY须显式添加且字段同样校验。
不能直接在 GROUP BY 后面写变量，比如 GROUP BY @col_name，SQL Server 解析阶段就报错“必须声明标量变量”——这不是执行时的问题，是语法层面不合法。
为什么 sp_executesql 是唯一安全的选择
动态分组本质是生成新 SQL 字符串再执行，EXEC 只能拼字符串字面量，一旦列名来自用户输入或配置表，极易被注入或类型错乱。sp_executesql 支持参数化，但注意：它只对**值参数**安全，对**列名、表名、函数名**等结构部分仍需手动拼接，必须额外校验。
- 列名必须用
QUOTENAME(@col_name)包裹，自动加方括号并转义特殊字符（如空格、中划线） - 先查
INFORMATION_SCHEMA.COLUMNS确认该列真实存在，避免拼出无效字段 - 聚合函数名（如
SUM、COUNT）不能参数化，只能白名单校验后拼进字符串，例如IF @agg_func IN ('SUM', 'COUNT', 'AVG')...
多字段分组怎么拼才不出错
用户传入的分组字段可能是单个（region），也可能是多个（region, status），手写逗号拼接容易漏空格、混入关键字或结尾多逗号。
- 把合法字段存进临时表或表变量
#valid_cols，每行一条字段名 - SQL Server 2017+ 直接用
STRING_AGG(QUOTENAME(col), ', ')组装 - 老版本用
FOR XML PATH('')拼接，但结果开头无逗号、结尾多逗号，得用STUFF(..., 1, 2, '')去掉前两个字符 - 最终 SQL 形如：
SELECT ' + @cols + ', COUNT(*) FROM orders GROUP BY ' + @cols
动态分组后排序失效？不是 bug，是标准行为
执行完 sp_executesql 返回结果集，发现顺序每次不同，甚至没按预期字段排——这不是动态 SQL 的缺陷，而是 SQL 标准规定：没有 ORDER BY 的查询，结果顺序无定义。
- 动态 SQL 字符串里必须显式加上
ORDER BY子句，且排序字段也要走QUOTENAME()校验 - 如果排序字段和分组字段不一致（比如按
total_amount DESC排，但分组字段只有region），要确认该字段在SELECT列表中已出现或可被聚合引用 - 别指望客户端自动补排序；也不要在应用层对结果再排序——数据量大时效率极低
真正麻烦的不是拼 SQL，而是字段合法性校验链：用户输入 → 系统视图验证 → QUOTENAME 转义 → 白名单过滤聚合函数 → 动态组装 → 执行。漏掉任意一环，轻则报错，重则拖垮整个库。
