静态PIVOT因列名须编译时确定而无法适配动态数据结构，必须用动态SQL：先用STRING_AGG+QUOTENAME生成带方括号的列名字符串，再拼接完整PIVOT语句，最后以sp_executesql安全执行。
为什么不能直接在存储过程中写静态 PIVOT？
因为列名必须在编译时确定，而动态透视需要根据查询结果（比如不同年份、产品类别）生成列，PIVOT 语法本身不接受变量作列名。硬写死列名会导致每次数据结构变化就得改存储过程，维护成本高。
怎么拼接动态 SQL 并执行 PIVOT？
核心是两步：先查出要转成列的值（如所有 status 值），用 STRING_AGG（SQL Server 2017+）或 FOR XML PATH 拼成列列表；再把整个 SELECT ... PIVOT 语句组装成字符串，用 sp_executesql 执行。
-
@cols必须用方括号包裹每个值，防止含空格或关键字（如[Pending]、[In Progress]） - 拼接前建议用
ISNULL或COALESCE处理空值，避免NULL进入列名导致语法错误 - 不要用
EXEC(@sql)，优先用sp_executesql，方便传参且能复用执行计划 - 示例片段：
DECLARE @cols NVARCHAR(MAX);<br>SELECT @cols = STRING_AGG(QUOTENAME(status), ',')<br>FROM (SELECT DISTINCT status FROM orders WHERE status IS NOT NULL) AS tmp;<br><br>DECLARE @sql NVARCHAR(MAX) = N'<br>SELECT * FROM (<br> SELECT user_id, status, amount FROM orders<br>) src<br>PIVOT (SUM(amount) FOR status IN (' + @cols + ')) pvt';<br><br>EXEC sp_executesql @sql;
参数化输入怎么安全传进动态 SQL？
表名、列名不能参数化，只能拼接（需严格校验）；但过滤条件的值（如日期范围、用户 ID）必须用参数，否则有注入风险。
- 用
sys.dm_exec_describe_first_result_set或白名单校验表名/列名是否合法（比如只允许字母数字下划线） - WHERE 条件中的值一律通过
sp_executesql的参数字典传入，例如：@sql = N'SELECT ... WHERE order_date >= @start_date'，然后EXEC sp_executesql @sql, N'@start_date DATE', @start_date = '2024-01-01' - 别在拼接字符串里直接插
CONVERT(NVARCHAR, @date)，类型转换交给参数机制
执行后结果集结构不可预测，客户端怎么读？
SQL Server 不会把动态列信息返回给调用方，所以 ADO.NET、Python 的 pyodbc 等无法提前获知字段名。必须额外提供元数据接口，或强制约定返回格式。
- 存储过程里不能用
SELECT *后直接返回——除非客户端用SET FMTONLY OFF（已弃用）或sp_describe_first_result_set预查结构 - 更稳妥的做法：把列名列表也作为输出参数（
@cols_out NVARCHAR(MAX) OUTPUT），让调用方自己解析 - 如果用在报表工具（如 SSRS），注意其不支持动态列，得改用矩阵控件或预定义最大列数并填充空值
动态 Pivot 最容易被忽略的是权限和执行上下文——sp_executesql 默认以调用者权限运行，但如果存储过程用 EXECUTE AS 切换上下文，拼接的 SQL 可能因权限不足失败；另外，tempdb 中临时表在动态 SQL 里不可见，要用全局临时表或表变量配合 INSERT INTO ... EXEC 中转。
