数据库Dynamic SQL怎么用

“数据库 Dynamic SQL（动态 SQL）”通常指在运行时拼接/生成并执行的 SQL 语句，不同数据库和语言里用法不太一样。下面按常见场景给你讲清楚。

一、什么是动态 SQL

静态 SQL：SQL 写死在代码里

SELECT * FROM user WHERE id = 1;

动态 SQL：SQL 在运行时才确定

'SELECT * FROM ' + table_name + ' WHERE id = ' + id;

二、常见数据库中的动态 SQL 用法

1️⃣ MySQL（存储过程中）

DELIMITER $$

CREATE PROCEDURE dyn_sql(IN tbl VARCHAR(50))
BEGIN
  SET @sql = CONCAT('SELECT * FROM ', tbl);
  PREPARE stmt FROM @sql;
  EXECUTE stmt;
  DEALLOCATE PREPARE stmt;
END$$

DELIMITER ;

调用：

CALL dyn_sql('user');

✅ 重点：

• PREPARE：预编译
• EXECUTE：执行
• 防注入：不要直接拼用户输入

2️⃣ Oracle（PL/SQL）

DECLARE
  v_sql VARCHAR2(200);
  v_count NUMBER;
BEGIN
  v_sql := 'SELECT COUNT(*) FROM emp WHERE deptno = :1';
  EXECUTE IMMEDIATE v_sql INTO v_count USING 10;
  DBMS_OUTPUT.PUT_LINE(v_count);
END;

✅ 使用 USING 传参，安全！

3️⃣ SQL Server

DECLARE @sql NVARCHAR(500);
SET @sql = N'SELECT * FROM user WHERE id = @id';
EXEC sp_executesql @sql, N'@id INT', @id = 1;

✅ sp_executesql 支持参数，推荐方式

三、编程语言中的动态 SQL（最常见）

Java（MyBatis）

<select id="getUser">
  SELECT * FROM user
  <where>
    <if test="name != null">
      AND name = #{name}
    </if>
    <if test="age != null">
      AND age = #{age}
    </if>
  </where>
</select>

✅ MyBatis 本质就是动态 SQL

Python（示例）

sql = "SELECT * FROM user WHERE 1=1"
params = []

if name:
    sql += " AND name = %s"
    params.append(name)

cursor.execute(sql, params)

四、动态 SQL 的注意事项（非常重要）

⚠️ 安全风险：SQL 注入

• ❌ 错误：直接字符串拼接

'DELETE FROM user WHERE name = ' + name

• ✅ 正确：使用参数化

⚠️ 性能问题

• 频繁 PREPARE 可能影响性能
• 复杂动态 SQL 难维护

五、什么时候用动态 SQL？

✅ 适合：

• 表名/字段名动态
• 条件不固定
• 报表、搜索、权限过滤

❌ 不适合：

• 简单固定查询
• 高性能核心路径

如果你能告诉我：

• 用的什么数据库（MySQL / Oracle / PG / SQL Server）
• 是存储过程还是代码里拼 SQL

我可以直接给你对应的最优写法示例。