<p>因为SQL解析器在编译阶段就要求表名必须是确定的标识符，而变量值仅在运行时才可知，故SELECT * FROM @table_name会报错；动态表名须通过字符串拼接+执行实现，SQL Server用QUOTENAME()校验后拼接并配合sp_executesql参数化字段值，MySQL则用CONCAT拼接加PREPARE/EXECUTE执行，且均需校验表名合法性。</p>
为什么不能直接用变量拼接表名
SQL Server 和 MySQL 的普通查询语句里，FROM 后面的表名不接受变量——比如写成 SELECT * FROM @table_name 会报错 Must declare the scalar variable "@table_name" 或类似语法错误。这不是权限或版本问题，是解析器在编译阶段就要求表名必须是确定的标识符，而非运行时才知的值。
所以动态表名必须绕过静态解析，走字符串拼接 + 执行路径。但拼接本身有风险，得先确保来源可信、过滤严格。
SQL Server 中用 sp_executesql 拼接并执行
推荐用 sp_executesql 而不是 EXEC，它支持参数化（对字段值安全），也更容易调试。但注意：表名、列名这类对象名无法参数化，只能拼接，所以必须手动校验。
- 先用
sys.tables或OBJECT_ID()检查表是否存在：IF OBJECT_ID(@table_name, 'U') IS NULL RAISERROR('Table not found', 16, 1) - 用
QUOTENAME()包裹表名，防止注入：SET @sql = 'SELECT * FROM ' + QUOTENAME(@table_name) - 字段值仍可参数化：
SET @sql = 'SELECT * FROM ' + QUOTENAME(@table_name) + ' WHERE id = @id'，然后传@id参数
示例片段：
DECLARE @table_name NVARCHAR(128) = 'users'; DECLARE @sql NVARCHAR(MAX); SET @sql = N'SELECT COUNT(*) FROM ' + QUOTENAME(@table_name); EXEC sp_executesql @sql;
MySQL 中用 CONCAT + PREPARE 实现
MySQL 没有内置对象名转义函数，得靠 CONCAT 拼字符串，再用 PREPARE/EXECUTE 执行。关键点是：表名不能进 USING 参数，必须拼进 SQL 字符串；且需确保 @table_name 来自白名单或已做过正则校验（如只允许字母数字下划线）。
- 避免直接拼接用户输入：
SET @sql = CONCAT('SELECT * FROM `', @table_name, '`'); - 执行前检查是否存在：
SELECT COUNT(*) INTO @cnt FROM information_schema.tables WHERE table_schema = DATABASE() AND table_name = @table_name; -
PREPARE语句不能复用变量名多次，每次都要DEALLOCATE PREPARE，否则可能报MySQL error 1064
示例片段：
SET @table_name = 'orders';
SET @sql = CONCAT('SELECT * FROM `', @table_name, '` LIMIT 10');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;跨库查询时表名带数据库名怎么处理
如果动态表名要包含库名（如 db1.users），拼接逻辑就得更小心。SQL Server 中 QUOTENAME() 只处理单个标识符，不能嵌套；得拆成两层：QUOTENAME(@db_name) + '.' + QUOTENAME(@table_name)。MySQL 同理，要用反引号分别包裹：CONCAT('`', @db_name, '`.`', @table_name, '`')。
但更要命的是权限：执行者必须对目标库有 SELECT 权限，且不能通过变量绕过权限检查——哪怕你拼出 master.syslogins，没权限照样报 Access denied。别指望动态表名能突破权限边界。
真正容易被忽略的，是字符集和排序规则。比如 SQL Server 中，如果 @table_name 是 varchar 类型而数据库用 Latin1_General_CI_AS，但变量是 SQL_Latin1_General_CP1_CI_AS，QUOTENAME() 可能返回空或乱码，导致执行失败。统一用 nvarchar 是底线。
