SQL标准不支持变量直接作为GROUP BY列名，必须通过白名单校验后拼接列名到SQL字符串中执行；不同数据库需用QUOTENAME()（SQL Server）、format('%I')（PostgreSQL）或反引号（MySQL）安全转义，且列名须预存在表结构中。
用字符串拼接SQL实现动态GROUP BY
SQL标准不支持变量直接作为GROUP BY的列名，必须把列名拼进SQL字符串再执行。这是最通用、兼容性最好的方案，适用于MySQL、PostgreSQL、SQL Server等几乎所有数据库。
常见错误是试图写 GROUP BY @group_cols 或 GROUP BY ? —— 这些语法在绝大多数引擎里会报错，比如MySQL提示 Unknown column '@group_cols' in 'group statement'，PostgreSQL则直接拒绝解析。
- 先校验输入列名是否合法：只允许字母、数字、下划线，且必须存在于目标表的
INFORMATION_SCHEMA.COLUMNS中 - 用单引号包裹字符串值，但列名不能加引号（否则变成字面量）；若列名含空格或特殊字符，需按数据库规则转义（如MySQL用反引号
`col name`，PostgreSQL用双引号"col name"） - 拼接后务必使用预编译参数绑定非列名部分（如WHERE条件值），防止SQL注入；列名部分只能靠白名单校验，不能用参数占位
示例（MySQL）：
SET @cols = 'status, priority';
SET @sql = CONCAT('SELECT ', @cols, ', COUNT(*) FROM tasks GROUP BY ', @cols);
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
PostgreSQL中用EXECUTE + format()安全拼接
PostgreSQL提供format()函数配合EXECUTE，比手动拼接更安全，能自动处理标识符转义。
容易忽略的是：不加USING子句时，format()的%%和%I（标识符）、%L（字面量）必须严格区分。误用%L包裹列名会导致查询返回空结果或报错column "xxx" does not exist。
-
%I用于表名、列名等标识符，会自动加双引号并转义 -
%L用于字符串值，会自动加单引号和转义 - 动态列列表需拆成数组传入，不能直接拼逗号分隔字符串（否则
%I只处理第一个）
示例：
DO $$
DECLARE
group_cols TEXT[] := ARRAY['status', 'priority'];
sql TEXT;
BEGIN
sql := format('SELECT %s, COUNT(*) FROM tasks GROUP BY %s',
array_to_string(group_cols, ', '),
array_to_string(group_cols, ', '));
EXECUTE sql;
END $$;
SQL Server里用QUOTENAME()防注入和关键字冲突
SQL Server不支持format()，但QUOTENAME()能安全包裹列名，避免遇到order、user这类保留字时报错Incorrect syntax near the keyword 'order'。
典型陷阱是忘记对每个列单独调用QUOTENAME()。如果直接对逗号串调用，比如QUOTENAME('a,b,c')，结果是[a,b,c]——这会被当成一个列名，而不是三个。
- 用
STRING_SPLIT()拆分输入字符串，再对每一项用QUOTENAME() - 用
FOR XML PATH('')或STRING_AGG()（SQL Server 2017+）重新拼接带括号的列名 - 最终SQL仍需用
sp_executesql执行，而非EXEC()，以便复用执行计划
示例（SQL Server 2017+）：
DECLARE @cols NVARCHAR(MAX) = 'status,priority'; DECLARE @sql NVARCHAR(MAX); SELECT @sql = STRING_AGG(QUOTENAME(value), ', ') FROM STRING_SPLIT(@cols, ','); SET @sql = 'SELECT ' + @sql + ', COUNT(*) FROM tasks GROUP BY ' + @sql; EXEC sp_executesql @sql;
应用层拼接比存储过程更可控
在Java/Python/Go等语言里拼接SQL，比依赖数据库端动态SQL更易调试、权限更细、也更容易做列名校验和日志审计。
关键点在于：不要把原始用户输入直接塞进SQL，而是从预设的字段白名单里映射。例如配置一个Map<String, String> validGroupByFields = Map.of("status", "status", "priority", "priority_id")，用户传group_by=status,priority，后端只取validGroupByFields.get("status")和validGroupByFields.get("priority")拼进去。
- 数据库权限可限制为只读，不开放
EXECUTE或PREPARE权限 - 错误信息能直接返回给前端（如“不支持按created_by分组”），而数据库端报错往往是模糊的语法错误
- 分页、排序、WHERE条件等逻辑统一收口，避免各处重复拼接逻辑
复杂点始终在列名合法性校验——哪怕用了白名单，也要注意大小写敏感性（PostgreSQL默认小写，SQL Server可能大写）和视图字段别名是否被允许。
