đối số quy trình được lưu trữ sql làm tham số cho truy vấn động

Question

Quy trình này có ba tham số. Nhưng khi tôi cố gắng thực hiện bằng cách truyền tham số, nó cho tôi thấy một lỗi. Làm ơn giúp tôi.

create procedure queryfunctions @Tabname varchar(150),@colname varchar(150),@valuesname varchar(150) 
as 
begin 
declare @sql varchar(4000) 
select @sql='select * from @Tabname where @colname=@valuesname' 
exec(@sql) 
end 

exec queryfunctions 'education','eduChildName','Revathi' 

Lỗi:

Msg 1087, Level 15, State 2, Line 1 Phải khai báo biến bảng "@Tabname".

Answer 1

Đây là một lựa chọn an toàn hơn nhiều:

ALTER PROCEDURE dbo.queryfunctions 
    @Tabname NVARCHAR(511), 
    @colname NVARCHAR(128), 
    @valuesname VARCHAR(150) 
AS 
BEGIN 
    SET NOCOUNT ON; 

    DECLARE @sql NVARCHAR(MAX); 

    SET @sql = 'SELECT * FROM ' + @Tabname 
      + ' WHERE ' + QUOTENAME(@colname) + ' = @v'; 

    EXEC sp_executesql @sql, N'@v VARCHAR(150)', @valuesname; 
END 
GO 

EXEC dbo.queryfunctions N'dbo.education', N'eduChildName', 'Revathi'; 

tôi đã thay đổi gì?

1. Luôn sử dụng tiền tố dbo khi tạo/tham chiếu đối tượng.
2. Tên bảng và cột là NVARCHAR và có thể dài hơn 150 ký tự. An toàn hơn nhiều để cho phép các tham số chứa một bảng mà ai đó có thể thêm vào trong tương lai.
3. Đã thêm SET NOCOUNT ON làm người bảo vệ chống lại phí trên mạng và có khả năng gửi các bộ kết quả sai tới khách hàng.
4. @sql phải luôn là NVARCHAR.
5. Sử dụng QUOTENAME xung quanh tên thực thể như bảng hoặc cột để giúp ngăn chặn việc tiêm SQL và cũng để bảo vệ chống lại các tên được chọn kém (ví dụ: từ khóa).
6. Sử dụng các thông số thích hợp nếu có thể (một lần nữa để giúp ngăn chặn việc tiêm SQL nhưng cũng để tránh phải thực hiện tất cả các loại thoát của dấu phân tách trên các tham số chuỗi).

Answer 2

Tại sao bạn chuyển tên đối tượng làm tham số?

Nếu bạn vượt qua chuỗi giá trị để @valuesname, mã của bạn nên được

create procedure queryfunctions 
(
@Tabname varchar(150),@colname varchar(150),@valuesname varchar(150) 
) 
as 
begin 
declare @sql varchar(4000) 
select @sql='select * from '+@Tabname+' where '+@colname+'='''+@valuesname+'''' 
exec(@sql) 
end 

Không biết làm thế nào để sử dụng dấu nháy đơn trong sql động? Tham khảo này http://beyondrelational.com/modules/2/blogs/70/posts/10827/understanding-single-quotes.aspx