存储过程报错

Question

我有一个 MSSQL 存储过程如下：

ALTER procedure [dbo].[GetDataFromTable]
(
@rowval varchar(50),
@tablename varchar(50),
@oby varchar(50)
)
as
begin
EXEC('Select top (' + @rowval + ') * from '+@tablename+ 'ORDER BY '+@oby+' DESC')
end

在执行时，它会给出以下错误： 消息 156，第 15 级，状态 1，第 1 行 关键字“BY”附近的语法不正确。 我也尝试了以下，仍然是同样的错误：

ALTER procedure [dbo].[GetDataFromTable]
(
@rowval varchar(50),
@tablename varchar(50),
@oby varchar(50)
)
as
begin
EXEC('Select top (' + @rowval + ') * from '+@tablename+ 'ORDER BY sno DESC')
end

注意：@rowval 表示要获取的行数，@tablename 表示表的名称，@oby 表示应根据哪个列进行排序。 注意：我在前端使用带有 C# 的 ASP.Net 来触发此过程，并在后端使用 MSSQL 2008 R2 Express Edition

Answer 1

给一些空间 after @tablename 和 before ORDER

Declare @sql varchar(max)=''

SET @sql = 'Select top (' + @rowval + ') * from '+quotename(@tablename)+ ' ORDER BY sno DESC'
                                                                        --^here
EXEC (@sql)

也开始使用Print/Select调试dynamic sql

为了给这个动态 sql 添加一些安全性，我将进行以下更改

1. 将@rowval 设为INT
2. 在@tablename参数中使用QUOTENAME函数避免sql注入
3. 将使用SP_EXECUTESQL 代替EXEC 执行动态查询

这是正确的做法

Declare @sql nvarchar(max)='',@tablename varchar(130), @rowval int 

select @sql  = 'Select top  (@rowval) * from '+quotename(@tablename)+ ' ORDER BY sno DESC'

exec sp_executesql @sql,N'@rowval int',@rowval = @rowval