VALUES子句不可直接拼接变量，应改用UNION ALL模拟多行或数据库特有语法（如PostgreSQL的VALUES表达式）；严禁字符串拼接+EXECUTE，必须参数化并校验输入、限制行数。
VALUES列表里不能直接拼接变量，怎么办
SQL标准不支持在VALUES子句中直接使用变量或表达式来动态生成多行数据（比如VALUES (@a, @b), (@c, @d)在多数数据库里会报错）。硬写死值无法应对运行时不确定行数的场景，常见于批量导入、日志聚合或ETL中间步骤。
真正可行的路径只有两条：用UNION ALL模拟多行，或借助数据库特定的“行构造器”语法（如PostgreSQL的VALUES表达式、MySQL 8.0+的ROW函数）。别试图用字符串拼接+EXECUTE——那是SQL注入高危区，且无法参数化。
PostgreSQL用VALUES表达式最干净
PostgreSQL把VALUES当第一类表达式，可直接嵌套在INSERT里，支持参数化，也允许子查询推导：
INSERT INTO users (name, age)
VALUES
('Alice', 30),
('Bob', 25),
('Charlie', 35);如果行数动态，就用SELECT + UNION ALL替代：
INSERT INTO users (name, age) SELECT 'Alice', 30 UNION ALL SELECT 'Bob', 25 UNION ALL SELECT 'Charlie', 35;
- 每行
SELECT必须列数、类型一致，否则报UNION types mismatch - 不能对
UNION ALL结果直接加LIMIT——得包一层子查询 - 性能上，100行以内
VALUES比UNION ALL快；超500行建议走临时表或COPY
MySQL 5.7及更早版本只能靠UNION ALL
MySQL直到8.0.19才支持VALUES作为独立表达式；老版本遇到动态多行，UNION ALL是唯一安全选择：
INSERT INTO logs (level, msg) SELECT 'ERROR', 'disk full' UNION ALL SELECT 'WARN', 'timeout' UNION ALL SELECT 'INFO', 'startup';
注意三点：
-
UNION ALL里不能带ORDER BY或LIMIT，否则语法错误 - 所有
SELECT字段必须显式写出，不能用* - 若某列要默认值（如
AUTO_INCREMENT），对应位置填DEFAULT，不是留空或NULL
SQL Server用VALUES表值构造器+括号嵌套
SQL Server从2008起支持VALUES作为表值构造器，但要求整个VALUES块被括号包裹，并配合SELECT或INSERT使用：
INSERT INTO products (sku, price)
SELECT * FROM (VALUES
('A123', 29.99),
('B456', 19.50),
('C789', 45.00)
) AS t(sku, price);关键细节：
- 别漏掉
AS t(col1, col2)别名和列别名，否则报Invalid column name - 行数超过1000时，SQL Server会拒绝执行——必须拆成多个
INSERT或改用OPENROWSET - 不能在
VALUES里调用函数如GETDATE()——得先算好再传入，否则报Invalid use of a side-effecting operator
动态行数最终还是得靠应用层拼接语句，但必须严格校验输入、限制最大行数、用参数化占位符（如@p1, @p2）代替字符串插值。
