动态 SQL 从自定义 @Column 中获取一个值到结果变量中

Question

我一直在努力做到这一点，但到目前为止，我在该主题上的搜索都没有奏效。 我在存储过程中有以下代码：

DECLARE @sql NVARCHAR(500)
DECLARE @qty money
SET @sql = N'SELECT TOP 1 @qty = @QuantityColumnName FROM #TemporaryTable WHERE ID =  @Id'
EXEC sp_executesql @sql, N' @QuantityColumnName nvarchar(50),@Id bigint, @qty money OUTPUT', @QuantityColumnName = @QuantityColumnName, @Id = @Id, @qty = @qty OUTPUT;
//this does not execute

@Id 帮助我循环遍历#TemporaryTable，@QuantityColumnName 是我的 nvarchar(50) 类型过程的参数。 #TemporaryTable 有 2 列，比如说 Quantity1 和 Quantity2，根据一些逻辑，我将列名传递给此过程并在此处使用值：

UPDATE Stocks
SET Quantity = Quantity - @qty      
               WHERE blabla

这里

INSERT INTO Stocks(ArticleLotId, LocationId, Quantity, ReservedQuantity)
                VALUES (@artLotId, @locId, @qty, 0)

无法评估错误消息“@qty”。

我什至尝试了另一种变体，但也没有成功，我尝试将结果存储在表格中

--Extract and cast result from @QuantityColumnName
DECLARE @sql nvarchar(1000)
SET @sql = 'SELECT ' + @QuantityColumnName + ' FROM #TemporaryTable WHERE ID = @Id'
DECLARE @resultSql AS TABLE(col money)
INSERT INTO @resultSql EXECUTE sp_executesql @sql

并尝试使用这样的结果：

UPDATE Stocks
SET Quantity = Quantity - (SELECT col FROM @resultSQL)  
WHERE blabla

您能帮我解释一下我做错了什么吗？ 提前谢谢！

Answer 1

您不能对对象名称进行参数化，您必须安全地注入该值。

这应该是你所追求的：

DECLARE @QuantityColumnName sysname = N'ColumnName'; --Correct datatype for object names

DECLARE @sql NVARCHAR(MAX);        
DECLARE @qty money;
SET @sql = N'SELECT TOP 1 @qty = ' + QUOTENAME(@QuantityColumnName) + N' FROM #temporaryTable WHERE ID =  @Id;'
EXEC sp_executesql @sql, N' ,@Id bigint, @qty money OUTPUT', @Id = @Id, @qty = @qty OUTPUT;