sp_executesql必须用参数化传参以防止SQL注入、类型转换失败和执行计划无法复用；其核心是预编译+类型明确的参数绑定，参数声明需严格匹配类型与顺序，NULL和空字符串需业务层适配处理。
sp_executesql 为什么必须用参数化方式传参
直接拼接字符串进 EXEC 或 sp_executesql 是常见错误源头，比如写成 'WHERE id = ' + @id，这会触发 SQL 注入、类型转换失败、执行计划无法复用等问题。而 sp_executesql 的核心价值，就在于它支持预编译语句 + 类型明确的参数绑定，让动态 SQL 具备和普通参数化查询一样的安全性和性能。
关键点在于：参数声明（第二个参数）和参数值（第三个及后续参数）必须严格一一对应，且类型要能隐式兼容。
参数声明字符串怎么写才不会报错
sp_executesql 的第二个参数是 NVARCHAR 类型的参数定义列表，格式固定，容易因空格、逗号、括号或类型名不匹配而失败。
- 必须用
N'@param1 type, @param2 type'格式，开头带N前缀，单引号包裹 - 每个参数前必须有
@，类型名不能缩写（比如写int可以，但i不行；varchar(50)不能简写成varchar） - 多个参数用英文逗号分隔，末尾不加逗号
- 常见报错
Must declare the scalar variable "@xxx"多半是因为参数声明漏了该变量，或大小写不一致（SQL Server 默认不区分大小写，但某些排序规则下可能敏感）
示例正确写法：
DECLARE @sql NVARCHAR(MAX) = N'SELECT * FROM users WHERE status = @status AND created_date > @since';<br>DECLARE @params NVARCHAR(MAX) = N'@status TINYINT, @since DATETIME2';<br>EXEC sp_executesql @sql, @params, @status = 1, @since = '2024-01-01';
传入 NULL 或空字符串时要注意什么
sp_executesql 对 NULL 值本身没有特殊限制，但实际使用中容易踩两个坑：
- 如果变量本身是
NULL，而你在参数列表里写了@p = @var，SQL Server 会如实传递NULL—— 这没问题，但你要确保业务逻辑能处理它（比如WHERE col = @p在@p IS NULL时永远不匹配，得改用IS NULL判断） - 字符类型参数若传空字符串
''，注意目标列是否允许空值、是否有默认约束、是否被误判为NULL（尤其在拼接条件时） - 避免把变量声明为
varchar却传nvarchar字符串（如@name = N'张三'），否则可能触发隐式转换，影响索引使用
存储过程中调用 sp_executesql 的典型结构
在存储过程里封装动态查询时，建议把 SQL 拼装、参数定义、参数值准备拆开，便于调试和维护。
- 先用
ISNULL(@input, '')或NULLIF(@input, '')统一预处理输入，避免空值干扰逻辑 - 拼接
@sql时只拼接固定部分，所有可变条件都通过参数带入（哪怕只是1=1这种占位） - 参数值尽量用同名变量直传（
@p = @p），减少映射出错概率 - 不要在
@sql中写PRINT @sql—— 它不会输出到客户端，要用RAISERROR(@sql, 0, 1) WITH NOWAIT临时调试
一个最小可用模板：
CREATE PROC usp_GetUsers (@dept_id INT, @min_age INT = NULL)<br>AS<br>BEGIN<br> DECLARE @sql NVARCHAR(MAX) = N'SELECT * FROM users WHERE 1=1';<br> DECLARE @params NVARCHAR(MAX);<br> <br> IF @dept_id IS NOT NULL<br> SET @sql += N' AND dept_id = @dept_id';<br> IF @min_age IS NOT NULL<br> SET @sql += N' AND age >= @min_age';<br> <br> SET @params = N'@dept_id INT, @min_age INT';<br> EXEC sp_executesql @sql, @params, @dept_id = @dept_id, @min_age = @min_age;<br>END
参数绑定那一步看着啰嗦，但少一个等号、多一个逗号、类型对不上，就会卡在运行时报错，而且错误信息往往不指明具体哪错 —— 调试时最耗时间的，常常就是这里。
