SQL SERVER 2008 Проблема динамических запросов

Question

У меня динамический запрос, который выглядит так

Alter PROCEDURE dbo.mySP 
    -- Add the parameters for the stored procedure here
    (
        @DBName varchar(50),
        @tblName varchar(50)

    )

AS
BEGIN
-- SET NOCOUNT ON added to prevent extra result sets from
-- interfering with SELECT statements.
SET NOCOUNT ON;

-- Insert statements for procedure here
declare @string as varchar(50)
declare @string1 as varchar(50)

set @string1  = '[' + @DBName + ']' + '.[dbo].' + '[' + @tblName + ']'

set @string = 'select * from ' + @string1   

exec @string

END

Я звоню вот так

dbo.mySP 'dbtest1','tblTest'

И у меня возникает ошибка

"Msg 203, Level 16, State 2, Procedure mySP, Line 27
The name 'select * from [dbtest1].[dbo].[tblTest]' is not a valid identifier."

Что не так? и как побороть?

Заранее спасибо

Answer 1

Предполагается, что содержимое @string относится к имени хранимой процедуры. Вам нужно поставить

EXEC (@string)

или лучше использовать хранимую процедуру sp_executesql

Вы также должны установить некоторый защитный код, чтобы проверить, что значения, которые вы передаете, являются именами реальных таблиц и баз данных. Вы можете запросить представления в INFORMATION_SCHEMA для проверки ввода.

Подробнее о более безопасном динамическом SQL можно прочитать в моем блоге.

Answer 2

Изменение

exec @string

Для

exec(@string)

Вот рабочий SP, который я только что протестировал:

CREATE PROCEDURE [dbo].[test] 
    @DBName varchar(50),
    @tblName varchar(50)
AS
BEGIN
    SET NOCOUNT ON;

    DECLARE @string AS VARCHAR(50)
    DECLARE @string1 AS VARCHAR(50)

    SET @string1 = '[' + @DBName + '].[dbo].[' + @tblName + ']'
    SET @string = 'select * from ' + @string1

    EXEC(@string)
END

Answer 3

, если вы используете EXEC как:

EXEC @String

он пытается запустить процедуру с именем, содержащимся в переменной @String. попробуйте:

create procedure TestProc
as
print 'you called TestProc!'
go

declare @string varchar(20)
set @string='TestProc'

exec @string

если вы используете EXEC как:

EXEC (@Query)

вы запускаете sql в переменной @Query, попробуйте:

DECLARE @Query  varchar(50)
set @Query='Print ''just ran it!'''

EXEC (@Query)

Answer 4

ALTER PROCEDURE test_sp
    -- Add the parameters for the stored procedure here
    (
        @DBName varchar(50),
        @tblName varchar(50)

    )

AS
BEGIN
-- SET NOCOUNT ON added to prevent extra result sets from
-- interfering with SELECT statements.
SET NOCOUNT ON

-- Insert statements for procedure here
declare @string as varchar(100)
declare @string1 as varchar(50)

set @string1  = '[' + @DBName + ']' + '.[dbo].' + '[' + @tblName + ']'
Print @string1
set @string = 'select * from'  + @string1       
Print @string
exec (@string)
SET NOCOUNT OFF  
END