为查询字符串声明变量

Question

我想知道在 MS SQL Server 2005 中是否有办法做到这一点：

  DECLARE @theDate varchar(60)
  SET @theDate = '''2010-01-01'' AND ''2010-08-31 23:59:59'''

  SELECT    AdministratorCode, 
            SUM(Total) as theTotal, 
            SUM(WOD.Quantity) as theQty, 
            AVG(Total) as avgTotal, 
            (SELECT SUM(tblWOD.Amount)
                FROM tblWOD
                JOIN tblWO on tblWOD.OrderID = tblWO.ID
                WHERE tblWO.Approved = '1' 
                AND tblWO.AdministratorCode = tblWO.AdministratorCode
                AND tblWO.OrderDate BETWEEN @theDate
            )
 ... etc

这可能吗？

Answer 1

这是可能的，但它需要使用动态 SQL。
我建议在继续之前阅读动态 SQL 的诅咒和祝福...

DECLARE @theDate varchar(60)
SET @theDate = '''2010-01-01'' AND ''2010-08-31 23:59:59'''

DECLARE @SQL VARCHAR(MAX)  
SET @SQL = 'SELECT AdministratorCode, 
                   SUM(Total) as theTotal, 
                   SUM(WOD.Quantity) as theQty, 
                   AVG(Total) as avgTotal, 
                  (SELECT SUM(tblWOD.Amount)
                     FROM tblWOD
                     JOIN tblWO on tblWOD.OrderID = tblWO.ID
                    WHERE tblWO.Approved = ''1''
                      AND tblWO.AdministratorCode = tblWO.AdministratorCode
                      AND tblWO.OrderDate BETWEEN '+ @theDate +')'

EXEC(@SQL)

动态 SQL 只是一种 SQL语句，在执行之前组成一个字符串。因此发生了通常的字符串连接。每当您想要使用 SQL 语法执行不允许的操作时，就需要动态 SQL，例如：

• 单个参数来表示 IN 子句的逗号分隔值列表
• 一个变量来表示值和 SQL 语法（即：您的示例）提供）

EXEC sp_executesql允许您使用bind/preparedstatement参数，因此您不必担心转义单引号/等以进行SQL注入攻击。

Answer 2

DECLARE @theDate DATETIME
SET @theDate = '2010-01-01'

然后更改您的查询以使用以下逻辑：

AND 
(
    tblWO.OrderDate > DATEADD(MILLISECOND, -1, @theDate) 
    AND tblWO.OrderDate < DATEADD(DAY, 1, @theDate)
)

Answer 3

使用 EXEC

您可以使用以下示例来构建 SQL 语句。

DECLARE @sqlCommand varchar(1000)
DECLARE @columnList varchar(75)
DECLARE @city varchar(75)
SET @columnList = 'CustomerID, ContactName, City'
SET @city = '''London'''
SET @sqlCommand = 'SELECT ' + @columnList + ' FROM customers WHERE City = ' + @city
EXEC (@sqlCommand)

使用 sp_executesql

通过使用此方法，您可以确保传递到查询中的数据值是正确的数据类型，并避免使用更多引号。

DECLARE @sqlCommand nvarchar(1000)
DECLARE @columnList varchar(75)
DECLARE @city varchar(75)
SET @columnList = 'CustomerID, ContactName, City'
SET @city = 'London'
SET @sqlCommand = 'SELECT ' + @columnList + ' FROM customers WHERE City = @city'
EXECUTE sp_executesql @sqlCommand, N'@city nvarchar(75)', @city = @city

参考

Answer 4

我将指出，在评分最高的答案中链接的文章动态 SQL 的诅咒和祝福 作者指出，答案是不使用动态SQL。几乎滚动到最后可以看到这一点。

来自文章：“正确的方法是将列表解压到带有用户定义函数或存储过程的表中。”

当然，一旦列表位于表中，您就可以使用联接。我无法直接对评分最高的答案发表评论，所以我只是添加了此评论。