SQL Server PIVOT的IN子句仅接受静态字面量列表（如[Jan],[Feb]），不支持变量@cols，解析器在编译阶段即报“必须是常量表达式”；必须用QUOTENAME()+STRING_AGG()拼接列名字符串，再通过sp_executesql执行完整动态SQL。
SQL Server 的 PIVOT 本身不支持变量列名，直接在 IN 子句里写 @cols 必然报错；必须用动态 SQL 拼接完整语句，再通过 sp_executesql 执行。
为什么 PIVOT(IN @cols) 会直接语法报错
SQL Server 解析器在编译阶段就拒绝变量出现在 PIVOT ... IN (...) 中——它只接受字面量列表，比如 ([Jan],[Feb],[Mar])。哪怕你把整个查询包进 EXEC('...')，只要 @cols 是变量引用，依然过不了语法检查。
-
PIVOT (SUM(Amount) FOR MonthName IN (@cols))→ 报错：「必须是常量表达式」 - 真正可行的是把列名拼成字符串，再塞进完整 SQL 字符串里：
N'SELECT ... PIVOT (...) IN ([Jan],[Feb])' - 聚合函数（如
SUM、MAX）不能省：同一分组键下多行数据必须明确怎么合并，否则结果随机丢数据
如何安全拼出动态列名（含空格、括号、单引号）
列名来自数据（比如产品名是 North America 或 CRM-2024]），不转义会破坏 SQL 语法甚至引发注入。必须用 QUOTENAME() 包裹每个值，再用 STRING_AGG() 连接（SQL Server 2017+）：
SELECT @cols = STRING_AGG(QUOTENAME(Category), ',') FROM (SELECT DISTINCT Category FROM Sales WHERE Category IS NOT NULL) AS T ORDER BY Category;
- 漏掉
DISTINCT→ 重复列名让PIVOT报错「列名重复」 - 没用
QUOTENAME()→ 遇到Category = ']'会拼出[]]，SQL 直接解析失败 - 没加
IS NOT NULL过滤 →QUOTENAME(NULL)返回NULL，STRING_AGG结果为NULL，后续拼接出IN ()空括号，语法非法 - 低于 SQL Server 2017？改用
FOR XML PATH('')，但需手动处理开头逗号和NULL值
为什么必须用 sp_executesql 而不是 EXEC
EXEC 只能执行纯字符串，而 sp_executesql 支持参数绑定，这对安全和性能都关键：
- 执行计划可复用：相同结构的动态 SQL（仅参数值不同）能共用缓存计划；
EXEC每次都重新编译 - 避免 SQL 注入：用户输入的过滤条件（如
@Year）应作为参数传入，不参与字符串拼接 - 示例中
@sql写成WHERE Year = @year_param，调用时用sp_executesql @sql, N'@year_param INT', @year_param = @Year - 别忘了声明
@sql为NVARCHAR(MAX)，否则超长会被截断，拼接不全
动态 PIVOT 存储过程里最容易被忽略的三件事
很多存储过程本地跑通，上线就失败，问题往往卡在权限、空结果或执行上下文上：
- 执行者需有源表
SELECT权限，且对sp_executesql有执行权限（通常默认有，但跨库或受限账户可能没有） - 若源数据来自视图或表值函数，确保执行上下文能访问它们；跨库查询必须用三段式名，如
db.schema.table - 空结果集时
@cols是NULL，拼出的 SQL 会变成IN ()，执行直接报错；必须提前判断：IF ISNULL(@cols, '') = '' RETURN;或RAISERROR
动态列名不是“写完就能跑”，而是每一步都要防 NULL、转义、权限、缓存这四个点；少一个，生产环境就卡住。
