数据库Dynamic SQL怎么学

学习数据库的 Dynamic SQL（动态 SQL），核心思路是：先懂“为什么用”，再学“怎么拼”，最后练“安全写法”。下面按 概念 → 各数据库写法 → 学习路径 → 常见坑 给你一个清晰路线。

一、先理解：什么是 Dynamic SQL

静态 SQL：SQL 在写代码时就固定了

SELECT * FROM user WHERE id = 1;

动态 SQL：SQL 在运行时才拼出来

'SELECT * FROM ' + table_name + ' WHERE id = ' + id;

常见使用场景

• 表名 / 字段名运行时才确定
• 条件数量不固定（搜索框）
• 批量操作
• 存储过程里根据参数走不同逻辑

二、不同数据库的 Dynamic SQL 怎么写

1️⃣ MySQL

方式一：PreparedStatement（应用层拼）

String sql = "SELECT * FROM " + table + " WHERE id = ?";

方式二：存储过程里用 PREPARE

SET @sql = CONCAT('SELECT * FROM ', table_name);
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;

2️⃣ Oracle

方式一：EXECUTE IMMEDIATE

EXECUTE IMMEDIATE 'SELECT COUNT(*) FROM ' || table_name INTO cnt;

方式二：DBMS_SQL（更复杂、更灵活）

DBMS_SQL.PARSE(cursor, sql_text, DBMS_SQL.NATIVE);

3️⃣ SQL Server

方式一：EXEC

EXEC('SELECT * FROM ' + @table)

方式二：sp_executesql（推荐，支持参数）

EXEC sp_executesql
  N'SELECT * FROM user WHERE id = @id',
  N'@id int',
  @id = 1;

4️⃣ PostgreSQL

EXECUTE 'SELECT * FROM ' || tab_name;

或在 PL/pgSQL 中：

EXECUTE format('SELECT * FROM %I WHERE id = $1', tab_name) USING id;

三、学习路线（建议顺序）

✅ 阶段 1：基础 SQL 打牢

• SELECT / WHERE / JOIN
• 存储过程 / 函数
• 参数化查询

✅ 阶段 2：写“拼接 SQL”

• 在应用层（Java / Python）拼 SQL
• 理解「字符串 → SQL 执行」的过程

✅ 阶段 3：数据库内动态 SQL

• 学 EXECUTE IMMEDIATE / sp_executesql
• 写带参数的动态 SQL

✅ 阶段 4：安全和优化

• 防 SQL 注入
• 执行计划缓存
• 权限控制

四、最重要的：安全和坑

❌ 错误写法（注入风险）

'SELECT * FROM ' + user_input

✅ 正确写法

• 用 参数化（? / @param）
• 白名单校验表名 / 字段名
• 最小权限账号

五、推荐学习资料

• 《SQL Cookbook》
• 各数据库官方文档（搜 “Dynamic SQL”）
• 牛客 / LeetCode 数据库题
• 实际写一个“通用查询接口”

如果你告诉我：

• 用哪个数据库（MySQL / Oracle / SQL Server）
• 是学 存储过程 还是 代码里拼 SQL

我可以直接给你针对性示例和练习。