动态 SQL 与参数化查询

Question

该存储过程被视为动态 SQL 还是参数化查询？

CREATE PROCEDURE [dbo].[my_dodgy_sp]
    @varchar1 varchar(50),
    @varchar2 varchar(50)
AS
BEGIN
    ...

    EXEC [dbo].[my_really_special_sp] @varchar1 @varchar2;
END

额外的巧克力甜甜圈，上面有樱桃，如果你能告诉我这是否是动态/参数化的：

CREATE PROCEDURE [dbo].[my_super_dodgy_sp]
    @varchar1 varchar(50),
    @varchar2 varchar(50),
    @stored_procedure_name sysname
AS
BEGIN
    ...

    EXEC @stored_procedure_name @varchar1 @varchar2;
END

Answer 1

EXEC [dbo].[my_really_special_sp] @varchar1 @varchar2;

不是参数化查询，它是存储过程的正常调用。

如果这会导致参数化查询，则取决于 [my_really_special_sp] 的内容。

请提供更多信息，我想为您提供更多帮助。

Answer 2

“动态 SQL”是指以编程方式构建 SQL 查询字符串。例如添加连接、构建 where 子句等。

参数化查询是包含变量的 SQL 查询字符串，其值与 SQL 查询字符串分开提供。

您的两个示例都不符合这些描述，因为它们都是存储过程内的简单 T-SQL 调用。

这可能看起来很迂腐，但如果您的应用程序调用'EXEC [dbo].[my_really_special_sp] @varchar1 @varchar2'，那么那就是一个参数化查询。

如果您的 SP 调用 sp_executesql 'EXEC [dbo].[my_really_special_sp] @var1 @var2', @var1 = 1, @var2 = 10 那么...

• sp_executesql 是T-SQL 调用
• 'EXEC [dbo].[my_really_special_sp] @var1 @var2' 是您的参数化查询
• @var1 = 1, @var2 = 10 是你的参数

重要的一点是，您的示例是 SP 中预编译的语句。我试图解释的例子是传递给 SQL Server 进行解析、编译和执行的字符串。

如果该字符串是通过编程方式逐段组成的，那么它就是动态 sql。

如果该字符串包含单独提供的变量引用，则它被参数化。

我希望这会有所帮助，尽管我知道这可能看起来很主观。

至于你的编程风格。您的第二个 SP 有一个小“漏洞”，因为如果用户有权访问它，他们就可以访问具有相同签名的所有其他 SP，即使该用户本身通常没有访问权限。这可能是故意的，并且/或者您可以验证 @spname 参数以关闭漏洞。除此之外，我看不出有什么可挑剔的。