Почему я не могу использовать переменную в качестве имени таблицы в хранимой процедуре?

Question

Я пытаюсь использовать переменную в качестве имени таблицы в хранимой процедуре, и она использует ее как строковый литерал, а не как фактическое имя таблицы. Почему это? Есть ли другой способ, которым я должен делать это (кроме как делать это на PHP)?

DROP PROCEDURE IF EXISTS settonull;

DELIMITER //

CREATE PROCEDURE settonull()
BEGIN
  DECLARE done INT DEFAULT FALSE;
  DECLARE _tablename VARCHAR(255);
  DECLARE _columnname VARCHAR(255);
  DECLARE cur1 CURSOR FOR SELECT CONCAT(TABLE_SCHEMA, '.', TABLE_NAME) AS table_name, COLUMN_NAME AS column_name FROM information_schema.COLUMNS WHERE IS_NULLABLE = 'YES' AND TABLE_SCHEMA = 'blip_notify' AND table_name = 'notify_queue' LIMIT 1;

  DECLARE CONTINUE HANDLER FOR NOT FOUND SET done = TRUE;

  OPEN cur1;

  read_loop: LOOP
    FETCH cur1 INTO _tablename, _columnname;

    IF done THEN
      LEAVE read_loop;
    END IF;

    UPDATE _tablename SET _columnname = NULL WHERE LENGTH(TRIM(_columnname)) = 0;

  END LOOP;

  CLOSE cur1;
END//

DELIMITER ;

CALL settonull();

Выход:

0 row(s) affected, 1 warning(s)

Execution Time : 0 sec
Transfer Time  : 1.094 sec
Total Time     : 1.095 sec

Note Code : 1305
PROCEDURE settonull does not exist
---------------------------------------------------

0 row(s) affected

Execution Time : 0.002 sec
Transfer Time  : 1.011 sec
Total Time     : 1.014 sec
---------------------------------------------------

Query: call settonull()

Error Code: 1146
Table 'blip_notify._tablename' doesn't exist

Execution Time : 0 sec
Transfer Time  : 0 sec
Total Time     : 0.003 sec
---------------------------------------------------

Answer 1

Вам нужно использовать динамический sql. да, тьфу.

SET @s = CONCAT('UPDATE ', _tablename, ' SET ', _columnname, ' = NULL WHERE LENGTH(TRIM(', _columnname, ')) = 0' );
PREPARE stmt FROM @s;
EXECUTE stmt;

Answer 2

Переменные содержат строковые значения (или другие типы данных), а не идентификаторы таблиц.

Вы можете делать то, что хотите в хранимой процедуре, если объедините части SQL-запроса вместе в виде строки, а затем PREPARE и EXECUTE этой строки в качестве оператора SQL.

Но, FWIW, я бы просто сделал это на PHP.

Также будьте осторожны с уязвимостями внедрения SQL при динамическом добавлении имени таблицы в запрос SQL, потому что экранирование функций, таких как mysql_real_escape_string (), не помогает для имен таблиц. См. Мое решение для «Белых карт» в моей презентации Мифы и ошибки SQL-инъекций .