PIVOT本身不支持动态列名，因IN子句必须为静态字面量列表，变量@cols在语法解析阶段即报错“Incorrect syntax near '@cols'”；须用STRING_AGG+QUOTENAME拼接列名后，通过sp_executesql执行完整动态SQL。
PIVOT 本身不支持动态列名，存储过程中必须用字符串拼接 + EXEC 或 sp_executesql 实现动态行转列。硬写 IN (@cols) 会直接报错 Incorrect syntax near '@cols'。
为什么不能直接在 PIVOT 的 IN 子句里用变量
PIVOT 的 IN 部分要求是**字面量列表**，不是表达式或变量。SQL Server 解析时就要求列名确定，不接受运行时计算的字符串。
- 哪怕
@cols值是'[Jan],[Feb],[Mar]'，IN (@cols)语法也不合法 - 错误信息明确：
Incorrect syntax near '@cols' - 这和
ORDER BY @colname类似——排序字段也不能用变量直写，得靠动态 SQL
动态拼接 SQL 的关键三步
核心逻辑是：先查出要转成列的值 → 拼成带方括号的安全列名 → 组装完整语句 → 执行。
- 用
QUOTENAME()包裹每个列值，防止含空格、短横线、中文等非法字符导致语法错误，例如QUOTENAME('user-name')返回[user-name] - SQL Server 2016+ 推荐用
STRING_AGG(QUOTENAME(col), ',')；旧版本用FOR XML PATH('')拼接 - 子查询里的别名（如
AS src）和PIVOT后的别名（如AS pvt）不能省，否则报Incorrect syntax near 'PIVOT' - 聚合字段（如
SUM(Amount)）和FOR列（如Category）必须来自同一子查询，且不能在子查询里被重命名后又在PIVOT外引用
存储过程里怎么安全传参并过滤数据
参数不能进 IN 子句，但可以进子查询的 WHERE 条件——这是最常被忽略的隔离点。
- 比如按年份筛选后再转列：
SELECT DISTINCT Category FROM Sales WHERE Year = @Year，而不是把@Year塞进PIVOT语法里 - 拼接前务必检查
@cols是否为空，避免执行空IN ()导致语法错误，加IF ISNULL(@cols, '') = '' RETURN - 用
sp_executesql而非EXEC(@sql)，才能安全传入参数（如@Year）到最终查询的WHERE中，防止注入 - 不要在拼接字符串里直接拼参数值，例如
... WHERE Year = '+CAST(@Year AS NVARCHAR)+'—— 这样丢失类型校验，也易被注入
CASE WHEN 有时比 PIVOT 更合适
当列集合固定（如月份 1–12、季度 Q1–Q4）、或需对每列加不同条件时，CASE WHEN + GROUP BY 更直观、易调试、无需拼接。
-
CASE支持每列独立条件，例如SUM(CASE WHEN Month = 1 AND Region = 'North' THEN Sales END)，而PIVOT只能统一聚合 -
CASE出错能准确定位到某一分支；PIVOT报错常指向整行语法，定位困难 - 不需要
QUOTENAME、STRING_AGG等额外函数，兼容性更好（SQL Server 2000 起就支持） - 如果列名来自用户输入或配置表，且数量不可控，那还是得走动态 SQL +
PIVOT，但务必把拼接和执行严格分离
QUOTENAME 缺失、WHERE 条件放错位置、空列名未判空这几个点上翻车。真正上线前，一定要用含特殊字符（如 'user-id'、'2025-Q3'）和空结果集的测试数据跑一遍。 
