将 SQL 语句作为参数发送到存储过程

Question

我想知道是否有任何聪明的解决方案可以将整个 SQL 语句作为参数发送到已经保存日期参数的存储过程。

见下文。

CREATE procedure sp_GetDataByDate
 @startdate datetime,
 @enddate datetime,
 @sqlStatement varchar(max)
as  
begin
   -- Here I want my SELECT-anything-somehow-statement
   @sqlStatement
   WHERE dbo.DummyDataTable.CreatedDT BETWEEN @startdate AND @enddate
end

一种解决方案，您首先使用 SQL 语句并使用该数据创建一个临时表，以便稍后使用日期参数过滤出您想要的内容，但它可能会很重，因为该数据库中有很多数据.

谢谢

Answer 1

您可以在 sql server 中使用 DQE（动态查询执行），您可以使用此功能创建具有字符串功能的 TSQL 并执行它。

但是这个解决方案存在一些安全和性能问题。

在这种情况下，黑客可以通过 SQL 注入攻击来攻击您的站点，并且可能会出现一些性能问题，例如 sql server 上的计划捕获和参数嗅探。

最好的解决方案是创建不同的 SP 来加载信息。

 CREATE PROCEDURE sp_GetDataByDate
     @startdate datetime,
     @enddate datetime,
     @sqlStatement varchar(max)
    AS  
    BEGIN
       -- Here I want my SELECT-anything-somehow-statement
     SET @sqlStatement +=' WHERE dbo.DummyDataTable.CreatedDT BETWEEN '+CHAR(39)+ CONVERT(NVARCHAR , @startdate , 120 )+CHAR(39)+  ' AND ' +CHAR(39)+ CONVERT(NVARCHAR , @enddate , 120 )+CHAR(39)

     PRINT @sqlStatement 

     EXEC(@sqlStatement )
    END

DQE Microsoft Doc