动态JOIN的ON字段不能用变量直接替换，必须通过QUOTENAME()安全拼接列名并校验其存在性，因sp_executesql仅支持值参数化，不支持语法结构（如表名、列名、JOIN子句）参数化。
动态JOIN的ON字段不能用变量直接替换
SQL解析器在编译阶段就必须确认ON子句中的列名是真实存在的标识符，@left_col这种变量出现在ON t1.@left_col = t2.@right_col位置会直接报错：Incorrect syntax near '@left_col'。这不是语法写错，而是引擎根本不允许变量占据列名、表名这类对象名的位置。
必须拼接整个ON子句，且列名要用QUOTENAME()包裹
安全拼接的关键不是“能不能拼”，而是“怎么拼才不炸”。常见错误是只对值做参数化，却把列名当普通字符串拼进去。正确做法是：
- 先查
sys.columns确认@left_col和@right_col确实在对应表中存在 - 用
QUOTENAME(@left_col)和QUOTENAME(@right_col)生成带方括号的安全列名（如[user_id]），防col; DROP TABLE users--这类注入 - 拼出完整片段：
'INNER JOIN table2 ON table1.' + QUOTENAME(@left_col) + ' = table2.' + QUOTENAME(@right_col)
sp_executesql只能参数化值，不能参数化JOIN结构
sp_executesql支持传入@id INT这类值参数，但LEFT JOIN、table2、ON ...这些都属于语法结构，必须硬拼进SQL字符串。这意味着：
-
WHERE name = @name✅ 可参数化 -
ORDER BY ' + @sort_col + ' ' + @direction❌ 必须拼接，且@sort_col需白名单校验或QUOTENAME()处理 -
TOP @n⚠️ 可参数化，但@n必须是整数类型，且需校验范围（如0 ）
拼完还得校验两列类型是否兼容
就算列名合法、拼接安全，INT和VARCHAR直接等值比较可能隐式转换失败或截断数据。容易被忽略的是：
- 目标列是计算列？查
sys.computed_columns确认是否可读 - 列上有
SCHEMABINDING？可能拒绝跨表引用 - 建议显式
CAST(t1.col AS VARCHAR(50)) = CAST(t2.col AS VARCHAR(50))，避免依赖隐式规则
