动态SQL是一种可以在运行时动态构造SQL语句的编程技术。因此可以创建更通用、更灵活的SQL语句，因为SQL语句的全文可能在编译时未知。例如，您可以使用动态SQL创建一个存储过程，该存储过程查询一个直到运行时才知道其名称的表的数据。或者是分页存储过程等。
创建动态SQL很简单，只需将其设置字符串，比如：
因为接受Unicode字符串的动态SQL，所以需要加上前缀。
虽然这个动态SQL不是很有用，但它很好地说明了动态SQL。
首先，声明两个变量，用于保存要查询的表的名称，用于保存动态。
其次，将变量的值设置为。
第三，通过将SELECT语句与表名参数连接起来，构造动态SQL：
第四，通过传递参数来调用存储过程。
完整代码：
上面的代码块与如下SQL语句返回同样的结果集：
此存储过程接受任何表，并使用动态SQL从指定表返回结果集：
调用这个存储过程返回表表的所有数据
例如，从中获得前10种最贵的产品：
返回库存量最高的前10种产品：
创建一张测试表：
如下语句返回 表中的所有行:
但是如果用户按如下方式传递表名：
这种技术称为SQL注入。一旦执行该语句，则表被删除，因为存储过程会执行这两个语句：
为了防止这种SQL注入，可以使用函数将架构(schema)和表名分离，如以下查询所示：
现在，如果将架构和表名传递给存储过程：
但是，如果尝试注入其他语句，例如：
会报如下错误：
语法：
- 是包含T-SQL语句的Unicode字符串。可以包含参数，比如：中的就是参数。
- 是一个字符串，包含sql语句中嵌入的所有参数的定义。每个参数定义都包含一个参数名及其数据类型，例如。参数定义用逗号分隔。
- 为字符串中定义的每个参数指定一个值。
示例:使用存储过程查找标价大于100且类别为1的产品：
版权声明：
本文来源网络，所有图片文章版权属于原作者，如有侵权，联系删除。
本文网址：https://www.mushiming.com/mjsbk/11184.html